CoinDCX räumte ein, dass On-Chain-Bewegungen rund um den 21. Oktober letztlich zu einem Verlust von 15,99 Millionen USDT führten, der mit alter, nach dem Sicherheitsvorfall im Juli 2025 ausgemusterter Wallet-Infrastruktur zusammenhängt. Zunächst hatte das Unternehmen bestritten, dass aktive CoinDCX-Adressen kompromittiert worden seien, und vorgeschlagen, dass die Alert-Meldungen durch die Wiederverwendung alter Adressen entstanden sein könnten. In einer Erklärung vom 25. Oktober kehrte CoinDCX jedoch von dieser ersten Position ab und erklärte, dass ein automatisierter „Sweeper“-Dienst, der Einzahlungen aus veralteten Adressen in sichere operative Wallets verschieben sollte, für einen unbestimmten Zeitraum ausgefallen sei, sodass Einzahlungen sich anhäuften und später von der verwundbaren Route abgezogen wurden.
Auf der öffentlichen Kette liegen nachvollziehbare Hinweise zum Umfang und zum Fluss der Mittel: Bitquery identifizierte 40 betroffene TRON-Adressen und wies etwa 15,82 Millionen USDT in einer Einzahlungsadresse nach, zusammengesetzt aus 88 Einzahlungen, die nicht weitergesweept worden waren. Bitquery verfolgte außerdem rund 9,63 Millionen USDT über Zwischenwallets zu Einzahlungsadressen, die innerhalb von 18 Stunden mit OKX, Binance und Gate in Verbindung gebracht wurden. Tether sperrte am 22. Oktober schätzungsweise 2,21 Millionen USDT in neun Wallets. CoinDCX erklärt, das Unternehmen habe den Verlust von 15,99 Millionen USDT aus eigenen Mitteln getragen und dass Kundenkonten, aktive Wallets und Handelsdienste nicht beeinträchtigt worden seien; Kunden, die versehentlich an veraltete Adressen überwiesen hatten, seien in der Buchhaltung sofort gutgeschrieben worden.
Der operationelle Kern des Problems ist eine geteilte Konstruktion aus sofortiger Kunden-Gutschrift und nachgelagertem automatischem Sweep: Wenn Nutzer weiterhin an alte, vom Dienst nicht mehr beworbene Adressen zahlten, wurde ihr Konto sofort gutgeschrieben, während ein separater Sweeper die tatsächlichen Coins in moderne Custody verschieben sollte. Fällt dieser Sweeper aus, entsteht eine Lücke zwischen dem im Kundenkonto sichtbaren Guthaben und dem faktischen Verbleib der Coins an einer verletzlichen Adresse, was im Falle des Abflusses zu einer bilanziellen Belastung des Unternehmens führt. Öffentliche Daten legen nicht offen, wann der Sweep erstmals ausgefallen ist, wie viele Einzahlungen insgesamt betroffen waren oder wie Unbefugte die Kontrolle über die betroffenen Adressen erlangt haben. CoinDCX hat über die onchain identifizierten eingefrorenen Beträge hinaus keine bestätigten Rückführungen gemeldet.
Der Vorfall macht technische, buchhalterische und kommunikative Schwachstellen deutlich: Eine Adresse als „retired“ zu markieren, verhindert nicht, dass die Blockchain weitere Übertragungen akzeptiert, und die Entscheidung, versehentliche Einzahlungen zu retten, schafft eine fortlaufende Überwachungs- und Funktionspflicht. CoinDCX räumte ein, die Kommunikation hätte proaktiver sein können, und kündigte stärkere Überwachung alter Walletsysteme sowie Hinweise an Kunden an, immer die aktuelle Einzahlungsadresse zu prüfen. Die Transaktionspfade und -größen sind auf der Blockchain sichtbar, doch die präzise technische Ursache, der interne Erkennungszeitplan und die Frage, ob eingefrorene Token an CoinDCX zurückgegeben werden, bleiben offene Punkte für Folgeuntersuchungen und mögliche aufsichtsrechtliche Prüfungen.