Co-founder CoinDCX, Sumit Gupta, awalnya membantah adanya pelanggaran baru di exchange aset kripto asal India tersebut. Seorang peneliti keamanan telah menandai sekitar US$15,99 juta dalam Tether (USDT) yang keluar dari wallet yang diberi label milik platform itu.
Gupta menyampaikan bahwa alamat-alamat tersebut memang milik CoinDCX sebelum terjadi peretasan pada Juli 2025 dan sudah terekspos saat insiden itu. Namun, investigator on-chain ZachXBT kemudian menuturkan, salah satu alamat deposit itu ternyata masih memindahkan dana pengguna ke hot wallet CoinDCX saat ini hingga Mei 2026. Gupta pun mengakui hal tersebut serta menegaskan bahwa tidak ada dana pengguna yang akan hilang.
Transfer US$15,8 Juta Memicu Alarm
Darcy, chief marketing officer dari perusahaan keamanan Salus, mengumumkan peringatan di X pada 22 Oktober.
Disponsori
Disponsori
Dalam unggahan itu, hot wallet CoinDCX yang dilaporkan, beserta beberapa alamat deposit, mengirimkan dana ke satu alamat TRON pada akhir 21 Oktober (UTC+8). Dana yang keluar itu total sekitar 15,99 juta USDT dan 5.783,81 TRON (TRX).
Transfer terbesar sendiri mencapai sekitar 15,82 juta USDT. Alamat penerima kemudian membagi dana tersebut ke banyak wallet.
Setelah beberapa kali dibagi, dana tadi akhirnya masuk ke alamat deposit di Binance, OKX, Gate, dan exchange lainnya, tutur Darcy.
Namun, petinggi CoinDCX membantah apabila wallet-wallet itu masih merupakan milik exchange mereka.
Ikuti kami di X untuk mendapatkan berita terkini secara langsung
CoinDCX Telusuri Wallet yang Ditandai ke Insiden Tahun Lalu
Gupta langsung membalas unggahan Darcy kurang dari tiga jam setelah publikasi.
“Terima kasih sudah menyoroti, tapi ini tidak benar dan wallet CoinDCX tidak bocor. Mohon jangan sebar rumor,” ujar dia.
Ia menjelaskan bahwa Arkham memang telah memberi label alamat-alamat tersebut milik CoinDCX. Akan tetapi, exchange membuatnya pada Januari 2025 dan alamat itu sudah terkena dampak serangan di bulan Juli 2025.
Disponsori
Disponsori
Menurut Gupta, para hacker nampaknya memanfaatkan kembali alamat-alamat lama itu. Dia menambahkan bahwa timnya sudah memeriksa seluruh alamat pusat maupun alamat pengguna aktif di exchange.
Tidak ada satu pun alamat yang telah mengirim dana ke alamat yang ditandai, ucapnya. Gupta juga menerangkan bahwa semua alamat CoinDCX bersifat publik dan bisa diakses pada halaman proof-of-reserves (PoR) mereka.
Insiden sebelumnya telah membuat CoinDCX mengalami kerugian sekitar US$44,2 juta pada Juli 2025. Ketika itu, Gupta mengungkapkan bahwa pelaku menyerang wallet internal yang dipakai untuk likuiditas di exchange partner, dan dana nasabah tetap aman.
ZachXBT Tantang Penjelasan ‘Wallet Lama’
Penyelidik on-chain, ZachXBT, membantah pernyataan Gupta melalui postingannya di X.
Ia menyampaikan alamat deposit CoinDCX yang dimulai dengan “TQKJQ” masih digunakan oleh liquidity provider (LP) selama 10 bulan setelah insiden Juli 2025. Berdasarkan ZachXBT, alamat itu memindahkan deposit pengguna ke hot wallet publik CoinDCX saat ini, dan menerima biaya gas hingga April serta Mei 2026.
“Artinya US$15,8 juta dana deposit pengguna tidak tercatat oleh tim Anda,” tulisnya.
ZachXBT juga menyoroti reputasi exchange asal India, membandingkan WazirX dan BitBNS bersama CoinDCX. WazirX sendiri kehilangan lebih dari US$230 juta pada insiden hack di Juli 2024.
Gupta lantas langsung membalas postingan tersebut.
“Ya, kami sudah sadar akan hal itu. Kami sedang menyelidiki lebih lanjut, dan akan memberikan update segera. Kami jamin tidak ada dana pengguna yang akan dirugikan,” paparnya.
Sebelumnya, Gupta menegaskan alamat yang ditandai sudah bukan lagi milik CoinDCX. Jawaban ini menandai perubahan sikap dari pernyataan sebelumnya.
Darcy Menunjuk Wallet di Daftar Cadangan CoinDCX Sendiri
Darcy kemudian meningkatkan tensi diskusi.
“Jika @CoinDCX tidak kena hack, berarti perusahaan itu sendiri yang mengambil aset penggunanya,” tulis CMO Salus itu.
Menurut Darcy, dua alamat dalam laporan PoR CoinDCX terbaru mengirimkan dana ke alamat yang diidentifikasi sebagai milik hacker (TAg6SZ1HhgVVjUaKY1paQoFBUS2JFrg5bT). Dua alamat tersebut yaitu:
- TFLxNHunhEizmeEdiMyA3r2XGLSKaEznGd
- TM5r1bNJ2TjZwfS757tPPtr84MwtEjL9qN
Darcy menambahkan bahwa hot wallet TFLxN… terus-menerus membagikan 15 TRX untuk gas, baik sebelum maupun setelah yang CoinDCX sebut sebagai insiden hack.
“Apakah Anda bermaksud bahwa para hacker bahkan ikut mengurus distribusi dana untuk biaya gas？” tanya Darcy.
Pemantauan Darcy menunjukkan jumlah-jumlah ini akhirnya berakhir di exchange:
- OKX: sekitar 5,47 juta USDT, ditambah 50.000 USDT terpisah
- Binance: sekitar 2,02 juta USDT
- Gate: sekitar 1,39 juta USDT
Beberapa dana juga masuk ke alamat yang terkait dengan Huione dan Xinbi. Perusahaan analisis blockchain, Elliptic, mengaitkan marketplace berbasis Telegram ini dengan aktivitas pencucian uang skala besar.
CoinDCX belum memberikan tanggapan secara publik atas klaim terbaru dari Darcy pada waktu publikasi. Gupta menyampaikan, akun resmi exchange tersebut akan segera membagikan detail lebih lanjut.