ZachXBT质疑CoinDCX约1580万美元用户存款去向不明

ZachXBT质疑CoinDCX约1580万美元存款去向不明

区块链研究员ZachXBT星期四在X上发文,指控印度加密交易所CoinDCX有约1580万美元的用户存款无法解释。他的指控核心是一个以TQKJQ开头的TRON充值地址。按他的说法,这个地址在2025年7月安全事件之后,仍被一家流动性提供方继续使用了约10个月。从交易记录看,该地址持续把用户充值扫入一个被标记为CoinDCX当前公开热钱包之一的钱包,同时还在接收用于支付交易手续费的资金。他分享的Arkham Intelligence数据显示,2026年10月21日有一笔约1581.9万枚USDT的转账,2026年4月和5月还有多笔规模较小的转账,接收地址均被标注为CoinDCX热钱包。他引用的链上记录还显示,当前热钱包最晚在2026年4月仍向这个被攻破的地址发送过手续费。他的诉求其实很具体:交易所必须说明这些存在争议的存款是如何入账的,因为它们从未出现在任何透明的储备证明之中。被标记的资产是TRON网络上的USDT,与2025年那次洗钱路径中的资产和链的组合完全相同。

CoinDCX否认发生新的入侵

CoinDCX在数小时内作出回应。在一份官方声明中,公司表示这些被标记的地址生成于2025年1月,在2025年7月的攻击中已被攻破,此后交易所再未使用过。联合创始人兼首席执行官Sumit Gupta写道,黑客似乎在复用这些旧钱包地址,并称此次事件可能是一场虚惊。他补充说,分析平台仍把遗留地址标记为CoinDCX,这会让攻击者的复用行为看起来像一次新的入侵,即便当前业务并未受到任何影响。公司声明还强调,没有任何资金从其运营钱包或客户托管地址流向这些存在争议的遗留地址,用户资产安全,交易服务照常运行。Gupta还单独回应了这位研究员:「是的,我们知道这件事」,团队正在「进一步调查」并会尽快公布更新,同时保证「用户资金不会有任何损失」。不过,公司至今没有公布10月21日资金移动的逐个钱包账目,而这恰恰是研究员要求披露的内容。

@CoinDCX · X 帖子

一份官方声明.

在 X 上查看

10月21日的资金转移链条

争议始于10月21日星期三深夜的链上异动。资产追回平台FlashRescue联合创始人Darcy标记了来自CoinDCX名下地址的转账,总额约1599万美元的USDT和5783.81枚TRX,其中单笔最大转账约1582万枚USDT。资金先落入一个中转地址,随后该地址被清空,部分USDT进入了Binance热钱包,也有一部分流向OKX和Gate。Darcy进一步声称,CoinDCX最新储备证明中列出的两个地址,本身也曾向那个被标记的TRON地址发送过资金。背景是一笔已被证实的损失:2025年7月19日,该交易所通过一个用于流动性管理的运营账户被转走约4400万美元。当时客户钱包未受影响,损失由公司储备吸收,交易所还开设了最高1100万美元的赏金计划以追回被盗资产。过去24小时的交易所监测数据显示,CoinDCX的日成交量约115万美元,体量很小,最活跃的交易对是法币对USDT。

可冻结的资金,待解的疑问

COINOTAG对链上记录的解读是:2025年的事件已由链上证据确认,2026年的争议仍然悬而未决。2025年7月的攻击者交易记录指向的根本原因是运营账户失守,团队当时的复盘也把4400万美元的损失归入公司储备,并以赏金计划作为补救。尚未被证明的是今天是否存在客户损失:一笔来自被标记地址的大额转账本身并不构成新入侵的证据,1580万美元这一数字也尚未被独立确认为盗窃。由于大部分被转移的资金是存放于中心化平台的USDT,Tether或接收交易的交易所理论上可以将其冻结,但前提是CoinDCX正式确认发生损失。在公司公布逐个钱包的账目之前,那些正在权衡交易所风险与使用硬件钱包自托管的用户,手上几乎没有经过核实的披露信息可用。