En la industria de los activos digitales, la transparencia de la cadena de bloques actúa como un libro contable público e implacable y cuando una plataforma de intercambio centralizada (CEX) sufre una anomalía en sus flujos de tesorería, los comunicados de prensa y las declaraciones ejecutivas suelen ser los primeros mecanismos de defensa.
Sin embargo, en un ecosistema donde cada transacción deja una huella inmutable, las narrativas corporativas corren el riesgo de desmoronarse en cuestión de horas si no coinciden con la realidad operativa de los nodos.
Este fue precisamente el escenario registrado esta semana, cuando entre el 21 y 22 de octubre alrededor de CoinDCX, la plataforma india de criptomonedas valuada en 1.100 millones de dólares trató de negar y esconder lo evidente.
Lo que inicialmente fue presentado por la directiva del exchange como un “falso rumor” sobre direcciones obsoletas vulneradas en 2025, se transformó rápidamente en un revelador caso de estudio sobre fallas en la gestión de infraestructura, errores en los procesos de depuración de depósitos y las severas inconsistencias entre la comunicación oficial y los datos on-chain.
La alerta pública saltó el 21 de octubre (UTC+8), cuando analistas de seguridad y firmas de auditoría como Salus y Flash Rescue detectaron una serie de transferencias coordinadas desde direcciones asociadas a CoinDCX hacia una billetera receptora en la red TRON (TAg6SZ…). En total, el flujo de salida sumó aproximadamente 15,99 millones de Tether (USDT) y 5.783,81 TRX.
El movimiento más sustancial involucró una sola transacción de 15,82 millones de USDT que posteriormente, la dirección receptora comenzó a fragmentar los fondos a través de múltiples billeteras intermediarias para depositarlos en plataformas competidoras como Binance, OKX y Gate.io, además de entidades vinculadas a mercados grises en Telegram identificadas por firmas como Elliptic.
Thanks for highlighting but this is incorrect and CoinDCX wallets are not breached. Pls don’t spread rumours. The addresses tagged by Arkham used to belong to CoinDCX before the last year hack ie July 2025. These addresses were generated in Jan 2025 and were compromised in the previous hack in July 2025. The hackers seem to be re-using the old wallet addresses and this sounds like a false alarm. We have checked all the present CoinDCX central and user addresses. None of them have sent money to these old addresses. All the CoinDCX addresses are public and can be seen on our POR link. None of these have sent funds to the above addresses in question and none of the CoinDCX funds got compromised. Will keep you posted if any new info comes to us as the team is investigating it further. More details to follow from the official CoinDCX handles soon.
— Sumit Gupta (@smtgpt) October 22, 2026
La reacción de CoinDCX no se hizo esperar, ya que el propio Sumit Gupta, cofundador y CEO de la compañía, rechazó enfáticamente las advertencias de la comunidad en redes sociales, solicitando a los investigadores que “no difundieran rumores”, indicando: “Gracias por señalarlo, pero esto es incorrecto y las billeteras de CoinDCX no han sido vulneradas. Por favor, no difundas rumores”.
Según la versión oficial inicial: “Las direcciones etiquetadas por Arkham solían pertenecer a CoinDCX antes del hack del año pasado, es decir, julio de 2025. Estas direcciones fueron generadas en enero de 2025 y fueron comprometidas en el hack anterior en julio de 2025”. (que costó a la empresa 44,2 millones de dólares).
“Los hackers parecen estar reutilizando las antiguas direcciones de billeteras y esto suena como una falsa alarma. Hemos verificado todas las direcciones actuales de CoinDCX, tanto centrales como de usuarios. Ninguna de ellas ha enviado dinero a estas antiguas direcciones”.
Sin embargo, la narrativa de las “billeteras obsoletas y abandonadas” comenzó a agrietarse casi de inmediato bajo el escrutinio de la comunidad analítica on-chain tras quedar evidenciada una serie de inconsistencias.
CoinDCX deposit address TQKJQ was in use by a LP for 10 months after your July 2025 incident and swept user deposits + received gas as recent as April & May 2026 to your current public hot wallet. Meaning $15.8M in user deposits was unaccounted for by your team. Why are Indian CEXs so untrustworthy? WazirX BitBNS Now CoinDCX
— ZachXBT (@zachxbt) October 22, 2026
El primer golpe contra la versión oficial vino del reconocido investigador de blockchain ZachXBT. A través de un análisis detallado de los registros de transacciones en la red TRON, ZachXBT demostró que una de las direcciones de depósito clave utilizadas en el drenaje (que comenzaba con las siglas TQKJQ) no estaba archivada ni sin uso.
Por el contrario, la dirección en cuestión había sido operada activamente por un proveedor de liquidez (liquidity provider o LP) durante más de diez meses después del incidente de julio de 2025, algo que sin duda no tiene sentido.
Dicha billetera continuó canalizando depósitos de usuarios hacia la hot wallet (billetera caliente) pública de CoinDCX y cobrando comisiones por transacciones hasta abril y mayo de 2026 por lo que la objeción de ZachXBT era contundente al señalar que la plataforma no había contabilizado ni aislado adecuadamente 15,8 millones de dólares en depósitos procesados a través de infraestructura comprometida.
If @CoinDCX was not hacked, then it appears to have stolen its users’ assets itself. The following addresses listed in the latest PoR: TFLxNHunhEizmeEdiMyA3r2XGLSKaEznGd TM5r1bNJ2TjZwfS757tPPtr84MwtEjL9qN have transferred funds to the hacker address: TAg6SZ1HhgVVjUaKY1paQoFBUS2JFrg5bT Moreover, your hot wallet address, TFLxNHunhEizmeEdiMyA3r2XGLSKaEznGd, continued distributing 15 TRX both before and after what you describe as the hacking incident. Are you suggesting that the hackers were handling gas funding distribution for you? Some of the stolen funds have already flowed into exchanges: Binance: 2,020,943 USDT OKX: 5,465,933 USDT 50,000 USDT Gate: 1,392,199 USDT Some funds have also flowed into addresses associated with Huione and Xinbi 🤧🤧. Please don’t dodge the issue.
— Darcy 资产救援⛑️ (@DarcyAri) October 22, 2026
Pero las inconsistencias solo comenzaban porque posteriormente, la investigadora Darcy, directora de marketing de Salus, elevó la gravedad del hallazgo al analizar los informes de Prueba de Reservas (PoR) publicados por la propia empresa:
Inclusión en Prueba de Reservas: Dos de las direcciones desde las cuales se enviaron los fondos al atacante figuraban formalmente en el último reporte de Prueba de Reservas (PoR , «por sus siglas en inglés») de CoinDCX. Si las billeteras estaban comprometidas desde 2025, su inclusión en el reporte PoR ponía en duda la validez contable de las auditorías públicas de la plataforma.
Financiamiento involuntario de gas: La billetera caliente operativa de la plataforma (TFLxN…) continuó distribuyendo montos de 15 TRX para cubrir las tarifas de transacción (gas) tanto antes como después del drenaje de fondos, sugiriendo que los sistemas automatizados del exchange continuaban alimentando operativamente a las direcciones bajo control del atacante.
Further update on the TQKJQ wallet On-Chain activity. Following the July 2025 security incident, we advised users not to deposit crypto to the compromised wallet addresses. These addresses were generated earlier in 2025, were compromised during the incident, and have since been deprecated. It is strongly recommended for users not to deposit funds on deprecated addresses, and always verify updated deposit addresses from the CoinDCX App or website. Please note that depositing funds to deprecated addresses is highly risky. Exchanges do not typically take liability for such deposits made. Despite our notifications in the past, some users continued to deposit funds to deprecated deposit addresses instead of the latest ones. Our operational process is designed for regular sweeping of any such deposits made so the funds can be properly accounted for and secured. For a particular period, this sweeping process failed, which got identified today morning. This failure led to some operational losses, which were absorbed by CoinDCX. Importantly, all affected crypto deposit wallets for users on CoinDCX were duly credited even though they were made to the deprecated addresses. Users’ funds remain completely safe. Customer assets continue to be held in segregated cold wallets. Current CoinDCX central and user addresses have not been impacted, and no CoinDCX funds from active wallets have been compromised. The CoinDCX platform and all trading activities continue to function as usual. Please rely only on official CoinDCX channels for updates and avoid spreading unverified information.
— CoinDCX (@CoinDCX) October 22, 2026
Ante la acumulación de evidencia irrefutable, el discurso corporativo de CoinDCX dio un giro significativo pasando de la negación categórica de un problema, pasó a admitir una falla sistémica en sus procesos internos.
En declaraciones posteriores a medios financieros, CoinDCX confirmó que la clave de cifrado de la billetera había sido sustraída en el ataque de 2025, lo que impidió su desactivación técnica total a nivel de red.
No obstante, reconocieron que su mecanismo de depuración y barrido de depósitos (sweeping process) falló durante un período prolongado. Esto provocó que varios usuarios continuaran depositando activos en direcciones obsoletas cuyos accesos clave estaban en manos de terceros.
La empresa asumió las pérdidas resultantes como “pérdidas operativas”, garantizando que los usuarios afectados recibieron reembolsos y que la tesorería de la compañía cubriría el déficit de 16 millones de dólares, pero además se pudo conocer por medios de la India que el director de tecnología y a el jefe legal dejaron sus cargos en el exchange, lo que deja más preguntas y dudas.
Este incidente pone en relieve las profundas deficiencias en la gestión de la arquitectura on-chain que persisten incluso en los unicornios del sector tecnológico, ya que la incapacidad para discontinuar direcciones vulneradas, la falta de monitoreo sobre las claves asociadas a los informes de Prueba de Reservas y la lentitud para reconocer brechas operativas deterioran la confianza institucional en momentos clave para la regulación cripto en Asia y Asia del Sur.
Como advierten analistas de ciberseguridad, la resiliencia operativa de una plataforma no depende únicamente de la seguridad de sus servidores centrales, sino de la disciplina estricta para auditar, migrar y desmantelar la infraestructura en desuso.
Básicamente, en el entorno criptográfico actual, las declaraciones públicas ya no pueden ocultar las fallas de diseño porque para bien o para mal, la cadena de bloques siempre guarda el registro inmutable de las transacciones.