CoinDCX : 15,99 M USDT drainés sur d'anciennes adresses, quatre jours après la « fausse alerte » du PDG

L'échange CoinDCX, premier échange crypto indien en volume, a reconnu dans un billet de blog publié dimanche 25 octobre 2026 la perte d'environ 15,99 millions d'USDT (≈ 16 M$) et 5 783,81 TRX sur d'anciennes adresses Tron liées au piratage de juillet 2025 — un chiffre qui contredit directement le PDG et cofondateur Sumit Gupta, qui avait qualifié la semaine précédente l'alerte on-chain d'« incorrecte » et de « fausse alerte ». Journal du Coin a repris l'histoire pour les lecteurs francophones, et Crypto Briefing a documenté les flux de consolidation.

La chronologie publique

• Mardi 20 oct., 11h35 (heure de New York) : les sorties on-chain commencent sur Tron depuis plusieurs adresses de dépôt et un hot wallet que CoinDCX dit avoir mis hors service après l'incident de juillet 2025.
• Mercredi 21 oct., 1h30 (heure de New York) : Darcy, cofondateur de FlashRescue, publie l'alerte on-chain. Gupta réplique sur X : « CoinDCX wallets are not breached », parle de « fausse alerte » et attribue les mouvements à des réutilisations d'« anciennes adresses » par des attaquants extérieurs.
• Jeudi-samedi : CoinDCX reconnaît des « pertes opérationnelles » dans de courts posts X, sans chiffrage.
• Dimanche 25 oct. : le billet de blog officiel donne le chiffre : 15 998 994 USDT et 5 783,81 TRX. Il attribue la perte à la panne d'un service de balayage automatisé sur une infrastructure « retirée du service ».

Le plus gros transfert unique dans le drain est de 15 819 002 USDT, selon The Block. Les fonds ont ensuite transité par des comptes Binance, OKX et Gate avant que Tether ne gèle environ 2,21 M USDT le 22 octobre, d'après Crypto Briefing.

La version de CoinDCX, celle de ZachXBT

CoinDCX affirme :

• Les adresses visées faisaient partie de l'infrastructure retirée après le hack de juillet 2025 (44 M$).
• Un service de balayage automatisé, censé vider ces adresses, est « tombé en panne » pendant une période spécifique, laissant des dépôts clients continuer d'y arriver.
• La perte est absorbée par la trésorerie interne.
• Les fonds clients, en garde froide ségréguée, ne sont pas affectés.

ZachXBT, enquêteur on-chain, conteste point par point :

• Au moins une des adresses CoinDCX qualifie désormais de « retirée » interagissait encore avec le hot wallet courant de l'échange en avril et mai 2026.
• Un fournisseur de liquidité a continué d'envoyer des dépôts clients vers ces adresses pendant dix mois après l'incident de juillet 2025.
• ZachXBT accuse les cofondateurs d'avoir menti ou fait preuve d'incompétence grave, et affirme avoir aidé à geler une somme à six chiffres sur une partie du drain.

Crypto Briefing, qui s'appuie sur l'étiquetage de Bitquery, décompte 40 adresses Tron consolidant vers une seule adresse nouvellement créée.

Chiffres bruts

- Pertes totales confirmées : 15 998 994 USDT + 5 783,81 TRX
- Plus gros transfert :        15 819 002 USDT
- Gel Tether (22 oct.) :       ≈ 2,21 M USDT
- Adresses de départ :         ≈ 40 (Tron)
- Hack juillet 2025 :          ≈ 44 M$ (USDC + USDT)
- Délai détection :            14 h entre les premiers transferts et l'alerte
- Délai confession :           4 j entre l'alerte et le chiffre officiel

Ce que signifie la gestion de communication du PDG

Le point le plus coûteux de cet incident n'est pas le montant — c'est la séquence. Le PDG a publiquement démenti un rapport on-chain avant la clôture de l'enquête interne de son propre échange. Le chiffre officiel de CoinDCX, moins de quatre jours plus tard, correspond au nombre que son PDG avait publiquement contesté. Pour une juridiction où l'inscription auprès de la FIU-India repose sur la transparence opérationnelle de l'échange, l'écart entre un post X d'un PDG et le billet de blog officiel de l'entreprise est le type de signal que les tables de risque institutionnelles pondèrent explicitement.

Que surveiller

1. Liste complète des adresses et post-mortem on-chain. Le billet de blog de CoinDCX a le chiffre d'ensemble mais pas d'adresses, pas de hash de transaction, pas de schéma de routage. Darcy, ZachXBT et Bitquery disposent chacun de vues partielles. Un post-mortem unifié permettrait de réconcilier la version « retirée » avec l'activité d'avril-mai 2026 sur au moins une des adresses.
2. L'écart service de balayage ↔ détection. Quinze mois entre l'incident de juillet 2025 et ce second drain est une fenêtre longue pour un processus de mise hors service. Toute piste d'audit interne ou d'attestation externe sur l'état du service de balayage devient un signal de crédibilité, plus un simple point opérationnel.
3. Réponse réglementaire en Inde. CoinDCX est une entité déclarante enregistrée auprès de la FIU-India. Une perte répétée sur une infrastructure historique après un incident 2025 déjà largement couvert est le type d'évènement qui attire une requête formelle.
4. Gels Tether au-delà des 2,21 M$. Le gel actuel est une petite part du total. Toute saisie supplémentaire après les signalements KYT à Binance, OKX ou Gate sera visible sur la liste de blocage de Tether.

Contexte

L'épisode s'inscrit dans la série 2026 d'échecs de nettoyage post-piratage sur des échanges centralisés : adresses mises hors service de manière incomplète, services de balayage mal supervisés, et fournisseurs de liquidité qui conservent des références obsolètes dans leurs tables de routage. Comme dans l'affaire des portefeuilles D'CENT, la ligne de défense technique individuelle (ici la ségrégation du cold storage) tient ; c'est la plomberie opérationnelle autour qui fuit. La différence : CoinDCX est un échange centralisé, et c'est la trésorerie de l'entreprise qui absorbe la perte, pas celle d'utilisateurs individuels. Le coût réputationnel, lui, se paie dans les deux cas.

Sources :

• Journal du Coin — CoinDCX avoue 16 millions de dollars perdus, quatre jours après la « fausse alerte » de son PDG (source primaire FR, 2026-10-26).
• The Block — CoinDCX confirms $16 million loss from retired wallets days after CEO called breach reports a 'false alarm' (chiffre officiel, 2026-10-25).
• Crypto Briefing — CoinDCX confirms $16M loss from retired wallets after breach reports (traçage on-chain, 2026-10-25).