CoinDCX beismerte, hogy október 21-én és az azt követő napokban történt onchain mozgások végül 15,99 millió USDT veszteséghez vezettek, miután régi, még a 2025. júliusi incidens során kompromittáltnak minősített pénztárca-infrastruktúrahoz érkeztek befizetések. Az ügy kezdetben vitatott volt: a cég vezetése először azt állította, hogy az aktív CoinDCX címek nem sérültek, és felvetette, hogy a problémát a régi címek újrahasználata vagy téves riasztás okozhatta. Később azonban a társaság hivatalos közleményében elismerte, hogy az automatizált „sweeper” szolgáltatás egy ideje meghibásodott, így a felhasználók által régi címekre küldött USDT felgyülemlett, és az egyik ilyen elavult címről végül eltávolították a kriptopénzt.
A publikusan elérhető láncelemzések részleteket adnak a mozgásokról: a Bitquery 40 érintett TRON címet azonosított, és egyetlen címben körülbelül 15,82 millió USDT-t talált 88 befizetés formájában, amelyek többsége már hónapok óta nem került továbbküldésre. A Bitquery emellett mintegy 9,63 millió USDT-t követett nyomon köztes címeken keresztül olyan letétcímekig, melyeket OKX-hez, Binance-hoz és Gate-hez köthettek 18 órán belül a fő áthelyezés után. Tether pedig körülbelül 2,21 millió USDT-t fagyasztott le kilenc tárcában október 22-én. CoinDCX állítása szerint a veszteséget a cég saját eszközeiből fedezte és a felhasználók látható egyenlegei, aktív tárcái és kereskedési rendszerei nem sérültek.
A történet kulcsa a műszaki és működési döntés: a tőzsde úgy kezelte a régi címekre érkező tranzakciókat, hogy a felhasználók számláját azonnal jóváírta, majd egy külön automata szolgáltatásnak kellett volna az érkezett USDT-t átmozgatnia biztonságosabb custody-jal rendelkező tárcákba. Amikor a sweeper leállt, ez a kettéosztott folyamat azt eredményezte, hogy a felhasználó látta a jóváírást, míg a tényleges coin egy sérülékeny, „deprecated” címben maradt. A nyilvános anyagok nem tisztázzák, mikor kezdődött a sweeper kiesése, hány felhasználót érintett, vagy miként szerezték meg a támadók az érintett címekhez szükséges hozzáférést. Emellett nincs megerősítés arról sem, hogy a befagyasztott összegek közül mennyi került vissza.
A történet szabályozói és ügyféltájékoztatási vetületei is fontosak: a CoinDCX regisztrált jelentéstételi entitás Indiában, ám a közlemény nem részletezte, értesítették-e a FIU-India-t, a CERT-In-t vagy más hatóságokat az esetről. A cég azt ígéri, hogy szigorítja a régi rendszerek monitorozását és emlékezteti ügyfeleit, hogy mindig ellenőrizzék a jelenleg használt befizetési címeket. Az eset hangsúlyozza, hogy a cím „retire”-olása önmagában nem távolítja el annak blokkláncról való fogadását, és hogy egy mentési/sweepert szolgáltatás fenntartása folyamatos üzemképes működést igényel, mert különben a cég vállalja a gyűjtött kockázatot.