CoinDCX, blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il maggiore exchange crypto indiano, ha smentito giovedì 22 ottobre di aver subito un nuovo hack, dopo che un allarme on-chain aveva segnalato l’uscita di circa 15,99 milioni di USDT dai suoi wallet sulla rete TRON il giorno prima. Il cofondatore Sumit Gupta ha scritto su X alle 08:10 UTC che «i wallet di CoinDCX non sono stati violati» e che gli indirizzi coinvolti erano stati compromessi nell’attacco del luglio 2025 a CoinDCX; l’exchange ha aggiunto che da allora non sarebbero più stati usati. Meno di un’ora dopo l’investigatore ZachXBT ha replicato che uno di quegli indirizzi stava ancora raccogliendo depositi degli utenti in aprile e maggio 2026.
I trasferimenti in sé non sono in discussione. Coindaro ha controllato l’indirizzo ricevente sul registro pubblico di TRON: ha incassato 15.991.414 USDT, tra cui un singolo trasferimento da 15.819.002 USDT alle 15:35:54 UTC del 21 ottobre, e alle 03:22 UTC della mattina dopo aveva già inoltrato tutto. Quello che il registro non dice è chi controlli gli indirizzi, da una parte e dall’altra, né se qualche cliente abbia perso denaro. Su questi punti l’exchange e i suoi critici sono in disaccordo, e nessuno dei due ha ancora pubblicato una prova che chiuda la questione.
CoinDCX hack: l’allerta su 15,99 milioni di USDT in un indirizzo TRON nuovo
Il primo avviso è arrivato da Darcy, che pubblica come @DarcyAri e che Crypto Briefing descrive come dirigente della società di sicurezza Salus. In un post in cinese pubblicato alle 05:30 UTC del 22 ottobre, Darcy ha scritto che CoinDCX avrebbe perso, secondo il sospetto, circa 15,99 milioni di USDT e 5.783,81 TRX. Stando al post, l’hot wallet dell’exchange e diversi suoi indirizzi di deposito avrebbero inviato quei fondi all’indirizzo TRON TAg6SZ1HhgVVjUaKY1paQoFBUS2JFrg5bT, con un trasferimento massimo da 15.819.002 USDT.
Darcy ha indicato l’orario di quel trasferimento come 23:35:54 in UTC+8, cioè le 15:35:54 UTC del 21 ottobre. L’indirizzo ricevente avrebbe poi suddiviso il denaro su più wallet e una parte sarebbe arrivata a indirizzi di deposito su Binance, OKX, Gate e altri exchange, secondo quanto riferiscono Crypto Briefing e crypto.news sull’allerta. Coindaro non ha seguito i fondi fino a quel punto.
La parola che conta nel post originale è «sospetta». crypto.news ha osservato che l’allerta da sola non dimostra che i trasferimenti non fossero autorizzati. Mostra denaro che si muove da indirizzi che strumenti di analisi della blockchain, tra cui Arkham Intelligence, avevano etichettato come di CoinDCX.
Cosa mostra il registro di TRON al momento della stesura
Coindaro ha letto la cronologia dell’indirizzo ricevente tramite le interfacce pubbliche di TronGrid e Tronscan il 22 ottobre, tra le 10:50 e le 11:00 UTC circa. L’indirizzo è nuovo: è stato creato il 21 ottobre alle 12:19:30 UTC, circa tre ore prima del grosso trasferimento, e chiunque può seguirlo su Tronscan.
Tra le 12:33 e le 15:20 UTC ha ricevuto 44 piccoli trasferimenti in USDT, da 0,01 USDT a circa 35.456 USDT ciascuno. Il gruppo più numeroso è arrivato in meno di cinque minuti, tra le 15:00:27 e le 15:05:06 UTC: 27 trasferimenti da 27 indirizzi diversi, quasi tutti a nove secondi l’uno dall’altro. È il ritmo di uno script che raccoglie in un unico punto un lotto di indirizzi di deposito. Gli exchange fanno operazioni di questo tipo ogni giorno per riunire i depositi dei clienti. Ma può farle anche chiunque possieda le chiavi private di quegli indirizzi.
Alle 15:35:54 UTC è arrivato il trasferimento grosso: 15.819.002 USDT dall’indirizzo TQKJQrWok6fsBqZi3mkLkL6qX4YEgjqWUy, quello che ZachXBT ha poi chiamato «TQKJQ». Più tardi sono arrivati altri due trasferimenti, da 1 e da 3 USDT, da un altro indirizzo. In totale l’indirizzo ricevente ha raccolto 15.991.414 USDT in 46 trasferimenti, cifra che coincide con i circa 15,99 milioni indicati da Darcy. Coindaro non ha verificato la parte dell’allerta relativa ai TRX.
Il denaro non si è fermato a lungo. Alle 17:05 UTC del 21 ottobre l’indirizzo ha inviato un pagamento di prova da 10 USDT e, due minuti dopo, 2 milioni di USDT. Entro le 03:22 UTC del 22 ottobre aveva inoltrato tutti i 15.991.414 USDT in 18 trasferimenti verso sei indirizzi, prima a blocchi da 1 a 3 milioni, poi con importi da 20.000 a circa 2,14 milioni. Uno schema compatibile con fondi che vengono frazionati e instradati altrove. Da solo, però, non dice chi li stia instradando.
| Dato on-chain (TRON, USDT) | Valore | Ora (UTC) |
|---|---|---|
| Indirizzo ricevente creato | TAg6SZ1HhgVVjUaKY1paQoFBUS2JFrg5bT | 21 ott, 12:19:30 |
| Piccoli trasferimenti in entrata | 44, da 0,01 a circa 35.456 USDT ciascuno | 21 ott, dalle 12:33 alle 15:20 |
| Raffica di raccolte | 27 trasferimenti da 27 indirizzi | 21 ott, dalle 15:00 alle 15:05 |
| Trasferimento maggiore, da TQKJQ… | 15.819.002 USDT | 21 ott, 15:35:54 |
| Totale ricevuto | 15.991.414 USDT in 46 trasferimenti | 21 ott 12:33 – 22 ott 00:52 |
| Inoltrato | 15.991.414 USDT in 18 trasferimenti verso sei indirizzi | 21 ott 17:05 – 22 ott 03:22 |
Un limite vale per ogni riga di quella tabella. Nessuna etichetta pubblica di un explorer collega questi indirizzi a CoinDCX. L’attribuzione viene dai tag di Arkham, da Darcy e ZachXBT e da CoinDCX stessa, che ammette che gli indirizzi un tempo furono suoi. I dati sono quelli del 22 ottobre verso le 11:00 UTC, quando l’indirizzo ricevente non conteneva più USDT.
CoinDCX e Sumit Gupta: vecchi indirizzi dell’attacco di luglio 2025
CoinDCX ha risposto dal suo account ufficiale alle 08:14 UTC del 22 ottobre. «I fondi degli utenti sono al sicuro», ha scritto l’exchange, definendo «fuorvianti» le affermazioni su alcuni indirizzi di wallet. Le transazioni riguarderebbero vecchi indirizzi creati a gennaio 2025, compromessi a luglio 2025 e non più usati da allora, stando al post e al resoconto di Crypto Briefing. L’attività di trading prosegue regolarmente, ha aggiunto l’exchange.
Sumit Gupta aveva risposto all’allerta di Darcy quattro minuti prima. «Grazie per la segnalazione, ma non è corretto e i wallet di CoinDCX non sono stati violati», ha scritto, aggiungendo «Per favore, non diffondete voci». Gli indirizzi etichettati da Arkham, ha spiegato, appartenevano a CoinDCX prima dell’hack di luglio 2025, erano stati generati a gennaio 2025 ed erano stati compromessi in quell’incidente.
Secondo crypto.news, che ha riportato il resto del post, Gupta ha detto che gli autori dell’attacco del luglio 2025 sembrano riutilizzare quegli indirizzi e che CoinDCX non ha trovato alcun trasferimento dai suoi indirizzi operativi o dei clienti attuali verso quelli segnalati. Ha richiamato la proof of reserves pubblica dell’exchange e ha detto che sarebbero arrivati altri dettagli con il procedere dell’indagine. The Defiant ha riassunto la sua posizione allo stesso modo: gli indirizzi segnalati furono compromessi a luglio 2025 e nessun fondo dei wallet attuali di CoinDCX sarebbe stato toccato.
ZachXBT: l’indirizzo di deposito TQKJQ era in uso fino a maggio 2026
Alle 08:52 UTC ZachXBT, l’investigatore on-chain che aveva segnalato l’attacco del luglio 2025 prima dell’exchange, si è rivolto direttamente a CoinDCX. Ha scritto che l’indirizzo di deposito TQKJQ «è stato usato da un LP per 10 mesi» dopo l’incidente di luglio 2025, dove LP sta per liquidity provider, fornitore di liquidità. Secondo lui, l’indirizzo raccoglieva depositi degli utenti e riceveva gas, cioè i TRX che servono a pagare le commissioni di rete, ancora in aprile e maggio 2026, e inviava fondi all’attuale hot wallet pubblico di CoinDCX.
La sua conclusione è opposta a quella dell’exchange. «Il che significa che 15,8 milioni di dollari di depositi degli utenti non erano stati contabilizzati dal vostro team», ha scritto. Uno screenshot allegato al post mostra, secondo crypto.news, il trasferimento di 15.819.002 USDT del 21 ottobre. Questa parte Coindaro ha potuto confermarla sul registro: TQKJQrWok6fsBqZi3mkLkL6qX4YEgjqWUy ha inviato esattamente quell’importo alle 15:35:54 UTC.
Coindaro ha poi letto l’intera cronologia dei trasferimenti USDT di TQKJQ su Tronscan: 1.381 trasferimenti tra il 27 marzo 2025, quando ricevette i primi USDT, e il 21 ottobre 2026. L’indirizzo ha incassato e inoltrato USDT in ogni mese da marzo 2025 a maggio 2026, sia prima sia dopo l’hack di luglio 2025. L’ultimo trasferimento in entrata risale al 4 maggio 2026. Tra quelli in uscita, 610 sono andati a un unico indirizzo, TU7BbAsb8t371eMijQeiGXsiLvY1vZbsFs. Nessuna etichetta pubblica su Tronscan indica a chi appartenga, perciò Coindaro non può confermare la descrizione che ZachXBT ne dà come attuale hot wallet di CoinDCX.
Il registro mostra anche da dove arrivassero quei 15,8 milioni. Fino a fine gennaio 2026 TQKJQ ha girato ciò che riceveva. Poi ha smesso: tra febbraio e marzo 2026 ha incassato 15.478.002 USDT in 82 trasferimenti, tutti da un solo indirizzo, TSC5MzYDNqtp3HDpqCNpTAs5pnT7wt4Hrd, senza inviare nulla. Il saldo ha raggiunto 15.819.002 USDT il 30 marzo 2026 e non si è mosso fino al 21 ottobre, mentre i depositi più piccoli di aprile e maggio venivano inoltrati come prima. La catena non dice di chi fosse quel denaro, né se chi lo ha inviato fosse un cliente, un fornitore di liquidità o qualcun altro.
CoinDCX ha detto che gli indirizzi segnalati furono creati a gennaio 2025; su TRON un indirizzo può essere generato molto prima di ricevere i primi fondi. Quando crypto.news ha pubblicato, CoinDCX non aveva ancora spiegato come la cronologia citata da ZachXBT si concili con la sua versione.
Cosa è accertato e cosa no
Cinque punti sono verificabili da chiunque sul registro.
- Un nuovo indirizzo TRON ha ricevuto 15.991.414 USDT il 21 ottobre, in gran parte con un unico trasferimento da 15.819.002 USDT alle 15:35:54 UTC.
- Chi ha inviato quel trasferimento è l’indirizzo che ZachXBT chiama TQKJQ, che i tag di Arkham, citati da Gupta, collegano a CoinDCX.
- CoinDCX e il suo cofondatore ammettono che gli indirizzi segnalati un tempo furono dell’exchange e dicono che furono compromessi a luglio 2025.
- TQKJQ ha continuato a ricevere e inoltrare USDT fino a maggio 2026, e i 15.819.002 USDT che ha inviato vi erano fermi dal 30 marzo 2026.
- I fondi sono stati frazionati e inviati altrove nel giro di circa 12 ore.
Nessuno ha ancora mostrato pubblicamente chi controlli l’indirizzo ricevente e gli indirizzi che gli hanno inviato i fondi. Né se i clienti abbiano perso denaro. CoinDCX dice di no; ZachXBT dice che 15,8 milioni di dollari di depositi degli utenti non erano contabilizzati. Poi c’è la questione dei tempi. L’exchange sostiene che l’indirizzo non sia più stato usato da luglio 2025; il registro mostra che qualcuno ha continuato a usarlo e che i 15,8 milioni sono arrivati nel 2026, molto dopo l’hack. Se quel qualcuno fosse CoinDCX, un fornitore di liquidità che lavorava per lei o l’autore dell’attacco di luglio 2025, è proprio ciò su cui le due parti non concordano.
Al momento della stesura non abbiamo trovato alcuna dichiarazione di un’autorità di regolamentazione o della polizia indiana sui nuovi trasferimenti, né una verifica indipendente della spiegazione di CoinDCX. Nessuna autorità ha accusato qualcuno di illeciti in questa vicenda.
L’hack di CoinDCX di luglio 2025: 44,2 milioni di dollari da un conto operativo
Gli indirizzi al centro della disputa risalgono all’attacco che CoinDCX ha reso noto sabato 19 luglio 2025. Un conto operativo interno, usato per fornire liquidità su un exchange partner, era stato compromesso e ne erano stati sottratti circa 44,2 milioni di dollari, come riportò allora TechCrunch. L’exchange disse che i fondi dei clienti non erano stati toccati e che avrebbe assorbito la perdita con le proprie riserve di tesoreria.
«L’incidente è stato rapidamente contenuto isolando il conto operativo coinvolto», disse allora Gupta, aggiungendo che il conto era «separato dai wallet dei clienti». CoinDCX disse di lavorare con CERT-In, il gruppo indiano di risposta alle emergenze informatiche, e offrì una ricompensa fino al 25% dei fondi recuperati, con un tetto di 11 milioni di dollari secondo crypto.news.
Anche ZachXBT aveva segnalato quella perdita, ore prima della conferma dell’exchange. Secondo lui, l’indirizzo dell’attaccante era stato finanziato con 1 ETH tramite il mixer Tornado Cash; una parte dei fondi era stata trasferita con un bridge da Solana a Ethereum e consolidata in 4.443 ETH e 155.830 SOL, fermi quando TechCrunch ne scrisse il 21 luglio 2025.
L’episodio arrivava un anno dopo WazirX, un altro exchange indiano, che nel luglio 2024 aveva perso 230 milioni di dollari in un hack. CoinDCX ha poi creato un fondo di protezione dei clienti da circa 6 milioni di dollari più il 2% dei ricavi da brokerage, secondo crypto.news. TechCrunch indicava la base utenti di CoinDCX in oltre 16 milioni di persone, con più di 500 asset quotati. Per avere un ordine di grandezza, il nostro resoconto sugli hack crypto del terzo trimestre 2026 conta 1,18 miliardi di dollari rubati in quei tre mesi.
Perché un indirizzo compromesso non viene mai davvero abbandonato
La spiegazione di CoinDCX poggia su un’idea semplice che chi comincia spesso non coglie. Su una blockchain un indirizzo non si chiude. Chi possiede la sua chiave privata può spostare ciò che vi arriva, per sempre. Quando una chiave viene sottratta in un hack, l’exchange può smettere di usare l’indirizzo, ma non può riprenderselo. Tutto ciò che vi viene inviato dopo, da un cliente che ha salvato un vecchio indirizzo di deposito o da un sistema automatico mai spento, è alla mercé dell’attaccante.
Per questo i tempi indicati nel post di ZachXBT pesano tanto. Gli exchange assegnano a ogni cliente un indirizzo di deposito, poi raccolgono i saldi di migliaia di quegli indirizzi in un unico hot wallet centrale. Se un indirizzo di deposito compromesso fosse rimasto in quel ciclo per mesi dopo un hack, due soggetti avrebbero potuto detenerne la chiave contemporaneamente, e i nuovi depositi sarebbero stati esposti. Se invece fu messo fuori servizio a luglio 2025, la domanda diventa chi abbia inviato 15,5 milioni di USDT a quell’indirizzo all’inizio del 2026, e perché.
TRON rende questi flussi facili da seguire e rapidi da disperdere. Su questa rete passa una quota elevata dei pagamenti in USDT, come spiega il nostro articolo sui 2,2 trilioni di dollari in stablecoin movimentati da TRON. Tether, l’emittente di USDT, può congelare i token presenti su un indirizzo, ma nulla indica che qualcuno glielo abbia chiesto in questo caso.
CoinDCX è sicuro? Cosa può verificare oggi un utente
Dalla sola catena nessuno, fuori dall’exchange, può rispondere, e questo non è un consiglio di acquisto, vendita o prelievo. Un cliente può però guardare alcune cose concrete. Una è la proof of reserves citata da Gupta: serve solo se elenca indirizzi di wallet controllabili su un explorer e li confronta con i saldi dei clienti a una data precisa. Un’altra è se l’exchange tenga i fondi dei clienti separati dai conti operativi che usa per trading e liquidità, la separazione che CoinDCX disse aver protetto gli utenti a luglio 2025.
Quando un exchange afferma che gli indirizzi segnalati sono vecchi, la prova è la cronologia dell’indirizzo. Un utente può aprirlo su Tronscan e guardare la data dell’ultimo trasferimento in entrata: per TQKJQ è il 4 maggio 2026. La nostra guida su come scegliere un exchange crypto elenca gli altri punti da controllare, dalle licenze allo storico in materia di sicurezza.
CoinDCX si rivolge al mercato indiano e non è autorizzata ai sensi del MiCA nell’Unione europea, perciò Consob, Banca d’Italia e OAM non hanno alcun ruolo in questa vicenda.
Cosa osservare nei prossimi giorni
La prossima mossa spetta a CoinDCX. L’exchange non ha ancora detto chi abbia inviato USDT a TQKJQ dopo luglio 2025, né chi controlli l’indirizzo che ha ricevuto la maggior parte dei suoi trasferimenti in uscita. Gupta ha detto che sarebbero arrivati altri dettagli. Una risposta wallet per wallet a ZachXBT, una proof of reserves aggiornata o una comunicazione a CERT-In farebbero avanzare la storia. Sulla catena, da seguire sono gli indirizzi di destinazione che hanno ricevuto i fondi frazionati: un deposito su Binance, OKX o Gate potrebbe permettere a quelle piattaforme di congelare i fondi, se CoinDCX o le forze dell’ordine lo chiedessero.