CoinDCX, première plateforme crypto d’Inde, a démenti jeudi 22 octobre avoir subi un nouveau piratage, après une alerte on-chain selon laquelle environ 15,99 millions d’USDT auraient quitté ses portefeuilles sur le réseau TRON la veille. Son cofondateur Sumit Gupta a écrit sur X à 08 h 10 UTC que « les portefeuilles de CoinDCX n’ont pas été compromis » et que les adresses en cause avaient été compromises lors du piratage de juillet 2025 ; la plateforme ajoute qu’elles n’ont plus servi depuis. Moins d’une heure plus tard, l’enquêteur ZachXBT a répondu que l’une de ces adresses balayait encore des dépôts d’utilisateurs en avril et en mai 2026.
Les transferts, eux, ne sont pas contestés. Coindaro a vérifié l’adresse réceptrice sur le registre public de TRON : elle a reçu 15 991 414 USDT, dont un virement unique de 15 819 002 USDT le 21 octobre à 15 h 35 min 54 s UTC, et avait tout renvoyé à 03 h 22 UTC le lendemain matin. Le registre ne dit pas, en revanche, qui contrôle les adresses de part et d’autre, ni si un client a perdu de l’argent. Ce sont précisément les points sur lesquels la plateforme et ses détracteurs s’opposent, et aucun camp n’a encore publié de preuve qui tranche.
Piratage CoinDCX : l’alerte, 15,99 millions d’USDT vers une adresse TRON neuve
Le premier signal vient de Darcy, qui publie sous le nom @DarcyAri et que Crypto Briefing décrit comme un dirigeant de la société de sécurité Salus. Dans un message en chinois publié à 05 h 30 UTC le 22 octobre, Darcy affirme que CoinDCX serait soupçonnée d’avoir perdu environ 15,99 millions d’USDT et 5 783,81 TRX. Selon ce message, le portefeuille chaud de la plateforme et plusieurs de ses adresses de dépôt auraient envoyé ces fonds vers l’adresse TRON TAg6SZ1HhgVVjUaKY1paQoFBUS2JFrg5bT, le plus gros virement isolé atteignant 15 819 002 USDT.
Darcy indique l’heure de ce virement en UTC+8, 23 h 35 min 54 s, soit 15 h 35 min 54 s UTC le 21 octobre. L’adresse réceptrice aurait ensuite réparti l’argent entre plusieurs portefeuilles, et une partie serait arrivée sur des adresses de dépôt chez Binance, OKX, Gate et d’autres plateformes, d’après les comptes rendus de Crypto Briefing et de crypto.news sur l’alerte. Coindaro n’a pas suivi les fonds aussi loin.
Le mot qui compte dans le message d’origine est « soupçonnée ». crypto.news souligne que l’alerte, à elle seule, ne prouve pas que les transferts n’étaient pas autorisés. Elle montre de l’argent qui sort d’adresses que des outils d’analyse de la blockchain, dont Arkham Intelligence, avaient étiquetées comme appartenant à CoinDCX.
Ce que montre le registre TRON au moment de la rédaction
Coindaro a lu l’historique de l’adresse réceptrice via les interfaces publiques de TronGrid et de Tronscan le 22 octobre, entre 10 h 50 et 11 h 00 UTC environ. L’adresse est neuve : elle a été créée le 21 octobre à 12 h 19 min 30 s UTC, environ trois heures avant le gros virement, et chacun peut la suivre sur Tronscan.
Entre 12 h 33 et 15 h 20 UTC, elle a reçu 44 petits transferts d’USDT, de 0,01 USDT à environ 35 456 USDT chacun. Le plus gros groupe est arrivé en moins de cinq minutes, entre 15 h 00 min 27 s et 15 h 05 min 06 s UTC : 27 transferts depuis 27 adresses différentes, la plupart espacés de neuf secondes. Ce rythme ressemble à celui d’un script qui balaie un lot d’adresses de dépôt pour en rassembler les soldes au même endroit. Les plateformes d’échange font de tels balayages tous les jours pour regrouper les dépôts de leurs clients. Toute personne qui détient les clés privées de ces adresses peut en faire autant.
À 15 h 35 min 54 s UTC est tombé le gros virement : 15 819 002 USDT depuis l’adresse TQKJQrWok6fsBqZi3mkLkL6qX4YEgjqWUy, celle que ZachXBT appellera ensuite « TQKJQ ». Deux autres transferts, de 1 et de 3 USDT, sont arrivés plus tard depuis une autre adresse. Au total, l’adresse réceptrice a rassemblé 15 991 414 USDT en 46 transferts, ce qui correspond au chiffre de Darcy, environ 15,99 millions. Coindaro n’a pas vérifié la partie TRX de l’alerte.
L’argent n’est pas resté longtemps. À 17 h 05 UTC le 21 octobre, l’adresse a envoyé un paiement test de 10 USDT, puis 2 millions d’USDT deux minutes plus tard. À 03 h 22 UTC le 22 octobre, elle avait renvoyé la totalité des 15 991 414 USDT en 18 transferts vers six adresses, d’abord par blocs de 1 à 3 millions, puis pour des montants de 20 000 à 2,14 millions environ. Ce schéma correspond à des fonds fractionnés puis acheminés plus loin. smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il ne dit rien, en lui-même, de l’identité de celui qui les achemine.
| Donnée on-chain (TRON, USDT) | Valeur | Heure (UTC) |
|---|---|---|
| Adresse réceptrice créée | TAg6SZ1HhgVVjUaKY1paQoFBUS2JFrg5bT | 21 oct., 12 h 19 min 30 s |
| Petits transferts entrants | 44, de 0,01 à 35 456 USDT environ chacun | 21 oct., 12 h 33 à 15 h 20 |
| Rafale de balayage | 27 transferts depuis 27 adresses | 21 oct., 15 h 00 à 15 h 05 |
| Plus gros transfert, depuis TQKJQ… | 15 819 002 USDT | 21 oct., 15 h 35 min 54 s |
| Total reçu | 15 991 414 USDT en 46 transferts | 21 oct. 12 h 33 au 22 oct. 00 h 52 |
| Renvoyé | 15 991 414 USDT en 18 transferts vers six adresses | 21 oct. 17 h 05 au 22 oct. 03 h 22 |
Une limite vaut pour chaque ligne de ce tableau : aucune étiquette publique d’explorateur ne relie ces adresses à CoinDCX. L’attribution repose sur les marquages d’Arkham, sur Darcy et ZachXBT, et sur CoinDCX elle-même, qui reconnaît que les adresses lui ont appartenu. Les chiffres sont ceux du 22 octobre vers 11 h 00 UTC, moment où l’adresse réceptrice ne détenait plus aucun USDT.
CoinDCX et Sumit Gupta : des adresses anciennes, héritées du piratage de juillet 2025
CoinDCX a répondu depuis son compte officiel à 08 h 14 UTC le 22 octobre. « Les fonds des utilisateurs sont en sécurité », écrit la plateforme, qui qualifie de « trompeuses » les affirmations sur certaines adresses de portefeuille. Les transactions en cause concerneraient d’anciennes adresses créées en janvier 2025, compromises en juillet 2025 et inutilisées depuis, d’après le message et le compte rendu de Crypto Briefing. Les échanges se poursuivent normalement, ajoute la plateforme.
Sumit Gupta avait réagi à l’alerte de Darcy quatre minutes plus tôt. « Merci de l’avoir signalé, mais c’est inexact et les portefeuilles de CoinDCX n’ont pas été compromis », écrit-il, avant d’ajouter : « Merci de ne pas répandre de rumeurs. » Les adresses repérées par Arkham, dit-il, appartenaient à CoinDCX avant le piratage de juillet 2025, avaient été générées en janvier 2025 et ont été compromises lors de cet incident.
Selon crypto.news, qui rapporte la suite du message, Gupta affirme que les auteurs de l’attaque de juillet 2025 semblent réutiliser ces adresses, et que CoinDCX n’a relevé aucun transfert depuis ses adresses opérationnelles ou clients actuelles vers celles qui ont été signalées. Il renvoie à la preuve de réserves publique de la plateforme et indique que d’autres précisions suivront à mesure que l’enquête avancera. The Defiant résume sa position de la même façon : les adresses signalées auraient été compromises en juillet 2025 et aucun fonds des portefeuilles actuels de CoinDCX ne serait touché.
ZachXBT conteste : l’adresse de dépôt TQKJQ aurait servi jusqu’en mai 2026
À 08 h 52 UTC, ZachXBT, l’enquêteur on-chain qui avait signalé l’attaque de juillet 2025 avant la plateforme, s’adresse directement à CoinDCX. Il écrit que l’adresse de dépôt TQKJQ « était utilisée par un LP pendant 10 mois » après l’incident de juillet 2025, LP désignant un fournisseur de liquidité. D’après lui, elle a balayé des dépôts d’utilisateurs et reçu du gas, les TRX nécessaires pour payer les frais de réseau, pas plus tard qu’en avril et mai 2026, et elle a envoyé des fonds vers le portefeuille chaud public actuel de CoinDCX.
Sa conclusion est à l’opposé de celle de la plateforme. « Autrement dit, 15,8 M$ de dépôts d’utilisateurs n’étaient pas comptabilisés par votre équipe », écrit-il. Une capture d’écran jointe au message montre, selon crypto.news, le transfert de 15 819 002 USDT du 21 octobre. Ce point, Coindaro a pu le confirmer sur le registre : TQKJQrWok6fsBqZi3mkLkL6qX4YEgjqWUy a bien envoyé exactement ce montant à 15 h 35 min 54 s UTC.
Coindaro a ensuite lu tout l’historique USDT de TQKJQ sur Tronscan : 1 381 transferts entre le 27 mars 2025, date de son premier USDT reçu, et le 21 octobre 2026. L’adresse a reçu puis réexpédié des USDT chaque mois de mars 2025 à mai 2026, avant comme après le piratage de juillet 2025. Son dernier transfert entrant date du 4 mai 2026. Parmi ses transferts sortants, 610 sont allés vers une seule adresse, TU7BbAsb8t371eMijQeiGXsiLvY1vZbsFs. Aucune étiquette publique de Tronscan n’indique à qui elle appartient : Coindaro ne peut donc pas confirmer que c’est, comme le décrit ZachXBT, le portefeuille chaud actuel de CoinDCX.
Le registre montre aussi d’où viennent les 15,8 millions. Jusqu’à fin janvier 2026, TQKJQ transmettait ce qu’elle recevait. Puis elle a cessé : en février et mars 2026, elle a reçu 15 478 002 USDT en 82 transferts, tous depuis une même adresse, TSC5MzYDNqtp3HDpqCNpTAs5pnT7wt4Hrd, et n’a rien renvoyé. Son solde a atteint 15 819 002 USDT le 30 mars 2026 et n’a plus bougé jusqu’au 21 octobre, tandis que les dépôts plus modestes d’avril et de mai étaient réexpédiés comme avant. La blockchain ne dit pas à qui appartenait cet argent, ni si l’expéditeur était un client, un fournisseur de liquidité ou quelqu’un d’autre.
CoinDCX affirme que les adresses signalées ont été créées en janvier 2025 ; sur TRON, une adresse peut être générée bien avant de recevoir ses premiers fonds. Au moment de la publication de crypto.news, la plateforme n’avait pas expliqué comment l’historique d’adresse cité par ZachXBT s’accordait avec sa propre version.
Ce qui est établi, et ce qui ne l’est pas
Cinq points peuvent être vérifiés par n’importe qui sur le registre.
- Une nouvelle adresse TRON a reçu 15 991 414 USDT le 21 octobre, pour l’essentiel via un virement unique de 15 819 002 USDT à 15 h 35 min 54 s UTC.
- L’expéditeur de ce virement est l’adresse que ZachXBT appelle TQKJQ, que les marquages d’Arkham, cités par Gupta, rattachent à CoinDCX.
- CoinDCX et son cofondateur admettent que les adresses signalées ont appartenu à la plateforme, et disent qu’elles ont été compromises en juillet 2025.
- TQKJQ a continué de recevoir et de réexpédier des USDT jusqu’en mai 2026, et les 15 819 002 USDT qu’elle a envoyés y dormaient depuis le 30 mars 2026.
- Les fonds ont été fractionnés et envoyés plus loin en une douzaine d’heures environ.
Ce que personne n’a montré publiquement, c’est qui contrôle l’adresse réceptrice et celles qui lui ont envoyé des fonds. Personne n’a non plus montré si des clients ont perdu de l’argent. CoinDCX dit que non ; ZachXBT affirme que 15,8 M$ de dépôts d’utilisateurs n’étaient pas comptabilisés. Reste la question du calendrier. La plateforme dit que l’adresse n’a plus servi depuis juillet 2025 ; le registre montre que quelqu’un a continué de s’en servir, et que les 15,8 millions y sont arrivés en 2026, bien après le piratage. Que ce quelqu’un soit CoinDCX, un fournisseur de liquidité travaillant pour elle ou l’auteur de l’attaque de juillet 2025, c’est ce que les deux camps se disputent.
Nous n’avons trouvé, au moment de la rédaction, aucune déclaration d’un régulateur indien ou de la police sur ces nouveaux transferts, ni aucun examen indépendant de l’explication de CoinDCX. Aucune autorité n’a accusé qui que ce soit de faute dans cette affaire.
Le piratage de CoinDCX en juillet 2025 : 44,2 millions de dollars volés sur un compte opérationnel
Les adresses au centre de la dispute remontent à l’attaque que CoinDCX a reconnue le samedi 19 juillet 2025. Un compte opérationnel interne, utilisé pour fournir de la liquidité sur une plateforme partenaire, avait été compromis et environ 44,2 millions de dollars avaient été dérobés, selon TechCrunch à l’époque. La plateforme avait assuré que les fonds des clients n’étaient pas touchés et qu’elle prendrait la perte à sa charge sur les réserves de sa trésorerie.
« L’incident a été rapidement contenu en isolant le compte opérationnel concerné », avait déclaré Gupta, en précisant que ce compte était « séparé des portefeuilles des clients ». CoinDCX disait travailler avec CERT-In, l’équipe indienne de réponse aux urgences informatiques, et proposait une prime pouvant aller jusqu’à 25 % des fonds récupérés, plafonnée à 11 millions de dollars d’après crypto.news.
ZachXBT avait aussi signalé cette perte, quelques heures avant la confirmation de la plateforme. Selon lui, l’adresse de l’attaquant avait été alimentée avec 1 ETH via le mixeur Tornado Cash ; une partie des fonds avait été transférée de Solana vers Ethereum puis consolidée en 4 443 ETH et 155 830 SOL, restés dormants lorsque TechCrunch en a rendu compte le 21 juillet 2025.
L’épisode survenait un an après la perte de 230 millions de dollars de WazirX, autre plateforme indienne, piratée en juillet 2024. CoinDCX a ensuite créé un fonds de protection des clients d’environ 6 millions de dollars, abondé de 2 % de ses revenus de courtage, selon crypto.news. TechCrunch chiffrait la base d’utilisateurs de CoinDCX à plus de 16 millions, avec plus de 500 actifs listés. Pour l’échelle, notre article sur les piratages crypto du troisième trimestre 2026 décompte 1,18 milliard de dollars volés en trois mois.
Pourquoi une adresse compromise n’est jamais vraiment abandonnée
L’explication de CoinDCX repose sur une idée simple que les débutants ratent souvent. Sur une blockchain, une adresse ne se ferme pas. Celui qui détient sa clé privée peut déplacer tout ce qui y arrive, pour toujours. Quand une clé fuite lors d’un piratage, la plateforme peut cesser d’utiliser l’adresse, mais elle ne peut pas la reprendre. Tout ce qui y est envoyé ensuite, par un client qui a gardé une ancienne adresse de dépôt ou par un système automatique jamais désactivé, est à la merci de l’attaquant.
C’est pourquoi le calendrier avancé par ZachXBT pèse autant. Les plateformes attribuent à chaque client une adresse de dépôt, puis balaient les soldes de milliers de ces adresses vers un portefeuille chaud central. Si une adresse de dépôt compromise était restée dans ce circuit pendant des mois après un piratage, deux parties auraient pu détenir sa clé en même temps, et de nouveaux dépôts auraient pu être exposés. Si elle a été retirée du service en juillet 2025, la question devient : qui a envoyé 15,5 millions d’USDT vers cette adresse début 2026, et pourquoi ?
TRON rend ces flux faciles à suivre, et rapides à disperser. Le réseau porte une grande part des paiements en USDT, comme l’explique notre article sur les 2 200 milliards de dollars de stablecoins transférés sur TRON. Tether, l’émetteur de l’USDT, peut geler des jetons sur une adresse, mais rien n’indique que quelqu’un le lui ait demandé dans ce dossier.
CoinDCX est-elle fiable ? Ce qu’un utilisateur peut vérifier aujourd’hui
Personne en dehors de la plateforme ne peut répondre à partir de la seule blockchain, et ceci n’est pas un conseil d’acheter, de vendre ou de retirer des fonds. Un client peut néanmoins regarder quelques éléments concrets. D’abord la preuve de réserves citée par Gupta : elle n’a d’utilité que si elle liste des adresses vérifiables sur un explorateur et les met en regard des soldes clients à une date précise. Ensuite, la plateforme sépare-t-elle les fonds des clients des comptes opérationnels qu’elle utilise pour le trading et la liquidité ? C’est cette séparation même que CoinDCX invoquait pour dire que les utilisateurs étaient protégés en juillet 2025.
Quand une plateforme affirme que des adresses signalées sont anciennes, l’historique de l’adresse fait foi. Un utilisateur peut ouvrir l’adresse sur Tronscan et regarder la date du dernier transfert entrant : pour TQKJQ, c’est le 4 mai 2026. Notre guide pour choisir une plateforme d’échange crypto détaille les autres points à contrôler, des agréments à l’historique de sécurité.
Pour un lecteur français, le cadre est simple. CoinDCX s’adresse au marché indien et ne dispose d’aucun agrément MiCA dans l’Union européenne : l’AMF et l’ACPR n’ont donc aucun rôle dans ce dossier. La preuve de réserves reste, en revanche, un réflexe utile sur n’importe quelle plateforme, qu’elle soit agréée en Europe ou non.
La suite : ce que CoinDCX doit encore expliquer
La prochaine étape revient à CoinDCX. La plateforme n’a pas encore dit qui a envoyé des USDT vers TQKJQ après juillet 2025, ni qui contrôle l’adresse qui a reçu la plupart de ses transferts sortants. Gupta a annoncé que d’autres précisions suivraient. Une réponse adresse par adresse à ZachXBT, une preuve de réserves mise à jour ou une déclaration à CERT-In feraient chacune avancer le dossier. Sur la blockchain, ce sont les adresses qui ont reçu les fonds fractionnés qu’il faut suivre : un dépôt chez Binance, OKX ou Gate pourrait permettre à ces plateformes de geler les fonds si CoinDCX ou les forces de l’ordre le demandent.