CoinDCX退役钱包遭盗刷1599万枚USDT

1599万枚USDT从CoinDCX退役钱包流出

印度交易所CoinDCX于10月25日(星期日)披露,2025年7月被黑客事件后退役的一批运营钱包流出1599万枚USDT,全部损失由平台自行承担,客户余额未受影响。事件的核心资产是由稳定币发行方Tether发行的USDT,价格锚定美元的USDT价格并未受到冲击:被盗刷的是存量代币从废弃地址中的流出,与锚定机制无关。公司官方博客还原了时间线。10月21日(星期三),内部系统标记异常,第一时间的应对保住了仍在生产中的钱包和交易系统。次日,链上数据和用户报告浮现可疑资金流动,调查最终指向退役基础设施,其中存在未知的漏洞。这批退役钱包正是2025年7月19日(星期六)披露的失陷事件的同一批:当时约4420万美元从用于向合作交易所供应流动性的内部运营账户中被盗,那笔损失同样由CoinDCX承担,相关钱包事后被下线。至于USDT为何会留在死地址里,问题出在用户操作与清理流程的错位。即便应用已经显示新的充值地址,部分客户仍向旧地址转账。CoinDCX为此设计了双阶段补救机制:错误充值的资金一经到账即记入用户余额,再由独立服务把这些资金清扫进生产钱包。但这一次,清扫服务停用了一段时间,错误充值在退役地址中不断累积,最终被盗刷的正是这部分资金。单笔最大流出为15819002枚USDT。

链上预警先于官方否认

链上调查者的动作快于公司口径。资产追回服务FlashRescue联合创始人Darcy在10月22日(星期四)标记了Tron网络上的可疑转账,Tron是一条基于委托权益证明共识的第一层区块链。CoinDCX联合创始人兼首席执行官Sumit Gupta当天在X上发帖称公司钱包未被入侵,呼吁用户不要传播“错误信息”,并把被标记的地址描述为2025年7月事件中已失陷、疑似被黑客复用的地址。交易所官方账号也称该报道具有误导性。ZachXBT随后指出,其中一个地址在2026年4月和5月还曾向当前热钱包转入充值资金。Gupta回应称事项正在调查中、用户资金未受影响,CoinDCX同日在X上承认,清扫缺陷造成的运营损失由公司自行承担。官方博客算得上事后复盘。公司表示,对旧基础设施的排查和时间线重建耗时较久,并承认“本可以更主动地推进”。公司正在加强对残留系统的监控,并计划明确告知用户旧地址存在失效期限。其还表示,此前72小时内交易、充值和提现从未中断,也未设提现限额。这份披露落在交易所的多事之秋。3月,印度警方因与假冒CoinDCX网站相关的欺诈投诉拘留了Gupta和联合创始人Neeraj Khandelwal,公司否认创始人有任何牵连,Thane法院数日内准予保释,认为指控缺乏证据支持。2025年10月,Coinbase宣布对CoinDCX投资,金额未披露,Gupta给出的投后估值为24.5亿美元;印度竞争委员会于当年12月批准了这笔少数股权投资。

我们的判断是,这是一次清理流程的缺陷,而非对在用基础设施的新一轮入侵:为追回错误充值而建的机制在清扫停摆后反而成了攻击面,且波及范围止步于退役地址。10月21日的异常检测保护了活跃系统;滞后的是公司的公开口径,10月22日官方还在否认入侵,而链上调查者已经标记了Tron转账。USDT持续吸引此类盗刷,从某个以太坊项目上485万美元的USDT流失,到供给端的缓慢施压:随着流通供应量收缩、USDT市值在五天内蒸发10亿美元,平台风险在任何审视最佳加密货币交易所的工作中都应与市场风险同等对待。目前仍被暴露的是残留的旧地址层:监控已经加强,用户将被告知旧地址会失效,而此前72小时内交易与提现未受任何限制。