La clé de l'incident CoinDCX réside dans l'écart évident entre « le portefeuille a été désactivé » et « les procédures de traitement des fonds associés sont toujours en cours ».
Selon une déclaration publiée par CoinDCX le 25 octobre, le portefeuille concerné appartenait à une ancienne infrastructure opérationnelle abandonnée après l'incident de sécurité de juillet 2025. Parce que certains utilisateurs transféraient encore des actifs vers des adresses obsolètes, la plateforme a choisi de continuer à comptabiliser les dépôts associés, puis, via un service de balayage automatique, de transférer les fonds vers le portefeuille principal. Cependant, pendant une certaine période, le service de balayage automatique n'a pas fonctionné correctement, ce qui a fait que les fonds sont restés bloqués aux anciennes adresses et a finalement entraîné une perte d'environ 15,99 millions d'USDT.
Du point de vue de l'expérience utilisateur, cet arrangement n'est pas entièrement déraisonnable. Les transferts de cryptomonnaies sont irréversibles. Si les utilisateurs transfèrent des fonds vers d'anciennes adresses et que la plateforme d'échange abandonne simplement leur traitement, les utilisateurs peuvent se retrouver dans la situation difficile de ne pas pouvoir récupérer leurs actifs. Continuer à identifier les anciennes adresses et à traiter les dépôts transférés par erreur constitue en fait une tentative de trouver un équilibre entre le service aux utilisateurs et la migration de l'infrastructure.
Mais c'est aussi là que le problème se pose : lorsqu'une plateforme d'échange décide de continuer à traiter les fonds aux anciennes adresses, cela signifie qu'elle ne peut pas simplement cesser d'afficher les adresses et considérer que les responsabilités de sécurité associées sont terminées. Tant que les anciennes adresses peuvent encore recevoir des actifs, la plateforme doit clarifier qui est responsable de la surveillance, comment les fonds sont transférés, comment les anomalies déclenchent des alertes et quelles mesures doivent être prises lorsque le système de balayage échoue.
En d'autres termes, le fait qu'un ancien portefeuille ne fasse plus partie des processus métier normaux ne signifie pas qu'il a quitté le périmètre de la gestion des risques. Si la plateforme comptabilise encore les dépôts associés mais ne peut pas garantir que les fonds sont transférés comme prévu, alors les anciennes adresses se trouvent en fait toujours dans la chaîne de responsabilité opérationnelle de la plateforme d'échange.
C'est aussi pourquoi cet incident mérite l'attention de l'industrie. Ce que les attaquants ont exploité n'est pas seulement une adresse de portefeuille présentant des vulnérabilités de sécurité, mais aussi les éventuelles lacunes de gestion entre la mise hors service des portefeuilles, le traitement des dépôts des utilisateurs et le balayage automatique.
De 44 millions à 16 millions de dollars, pourquoi le risque est-il réapparu ?
CoinDCX a connu un incident de sécurité d'environ 44 millions de dollars en juillet 2025. La perte d'environ 15,99 millions d'USDT cette fois-ci n'est pas exactement la même situation que l'incident précédent, mais il existe un lien qui mérite d'être questionné : après l'incident de sécurité précédent, les risques de l'ancienne infrastructure ont-ils été suffisamment isolés, et les procédures de traitement des actifs associés ont-elles été systématiquement corrigées ?
CoinDCX a déclaré que l'ancien portefeuille concerné avait été abandonné après l'incident de 2025, mais cette enquête a révélé que le service de balayage automatique avait échoué pendant un certain temps, provoquant une accumulation de fonds. La plateforme a indiqué que la perte de cette fois-ci sera supportée par l'entreprise, que les systèmes de trading et de portefeuille actuels n'ont pas été affectés et que les soldes des fonds des utilisateurs ne sont pas non plus affectés.
Cela signifie que les deux incidents ne peuvent pas simplement être identifiés comme le même type d'attaque, et l'on ne peut pas non plus affirmer directement, en l'absence d'un rapport d'expertise complet, que l'architecture de sécurité globale de la plateforme a systématiquement échoué. Cependant, l'apparition répétée de risques majeurs liés aux anciens portefeuilles suffit à inciter les observateurs extérieurs à se demander : la précédente rectification de sécurité s'est-elle limitée à remplacer certaines adresses et certains systèmes, ou a-t-elle déjà couvert les processus complets de gestion des clés, de surveillance des adresses historiques, de traitement des dépôts anormaux et de balayage des fonds ?
Dans les opérations quotidiennes des plateformes d'échange centralisées, le système de portefeuille n'est généralement pas un ensemble d'adresses indépendantes, mais une architecture complexe impliquant des adresses de dépôt, des services de balayage, des portefeuilles chauds, des portefeuilles froids, des fournisseurs de liquidité et des systèmes de comptabilité internes. Un problème dans n'importe quel maillon peut affecter la circulation des fonds. Si la rectification de sécurité se concentre uniquement sur le remplacement des clés ou la migration des portefeuilles actifs, sans simultanément nettoyer les autorisations historiques, désactiver les services associés et surveiller en continu les anciennes adresses, les risques peuvent réapparaître sous différentes formes.
Plus notable encore, les systèmes automatisés ne sont pas intrinsèquement synonymes de sécurité. Le balayage automatique peut réduire les opérations manuelles et améliorer l'efficacité du traitement des fonds, mais une fois que les interruptions de service, les arriérés de tâches ou les états anormaux ne sont pas détectés, des outils initialement destinés à réduire les coûts opérationnels peuvent aussi devenir des canaux d'accumulation des risques.
Par conséquent, ce que cet incident met réellement à l'épreuve n'est pas de savoir si la plateforme d'échange dispose de portefeuilles froids, mais si elle peut prouver que l'ensemble du cycle de vie des fonds se trouve dans un état surveillable, traçable et susceptible d'une intervention en temps opportun.
Pourquoi les données on-chain ont-elles plus de poids qu'une réponse verbale immédiate ?
Un autre indice important dans cet incident est l'écart temporel entre la réponse initiale de CoinDCX aux transferts anormaux et sa déclaration formelle ultérieure.
Le 22 octobre, le PDG Sumit Gupta a répondu à une alerte de transfert anormal soulevée par un enquêteur on-chain, déclarant que l'adresse concernée appartenait à un ancien portefeuille affecté lors de l'incident de sécurité de 2025 et que l'alerte pourrait être un « faux positif ». Plus tard, l'enquêteur on-chain ZachXBT a exprimé des doutes, soulignant qu'au moins l'une des adresses concernées était encore utilisée par un fournisseur de liquidité après l'incident de juillet 2025 et avait transféré des fonds vers le portefeuille chaud actuel de CoinDCX en avril et mai 2026. CoinDCX a finalement reconnu le 25 octobre qu'il y avait eu des problèmes avec l'ancienne infrastructure et a divulgué le montant de la perte.
Ce processus reflète un changement de plus en plus évident dans l'industrie crypto : le registre public on-chain modifie la relation d'information entre les plateformes d'échange et le marché.
La circulation des fonds dans les institutions financières traditionnelles repose généralement sur des registres internes, des rapports d'audit et des divulgations réglementaires, ce qui rend difficile pour les observateurs externes de saisir immédiatement les chemins de transaction spécifiques après la survenance d'un incident. Dans un environnement de chaîne publique, cependant, l'heure du transfert, le montant, le hash de transaction et les flux de fonds entre les adresses peuvent être suivis en continu par des chercheurs externes. Bien que les contrôleurs réels derrière les adresses ne soient pas directement identifiables, les données publiques suffisent à tester certaines explications des institutions.
Cela ne signifie pas que chaque jugement des enquêteurs on-chain est nécessairement correct. Les enregistrements on-chain peuvent prouver quand et combien d'un actif a été transféré, mais ils ne prouvent pas nécessairement à eux seuls qui contrôlait l'adresse, comment les fonds étaient comptabilisés au sein de la plateforme d'échange, ou comment la vulnérabilité spécifique s'est formée. Par conséquent, déterminer la nature de l'incident nécessite encore de combiner les déclarations de la plateforme, les enquêtes techniques et les registres comptables internes.
Mais pour les plateformes d'échange, l'information on-chain n'est plus seulement un outil de responsabilisation a posteriori ; elle peut aussi devenir une base importante pour que le marché juge le risque. Lorsque les données publiques diffèrent considérablement de l'explication initiale d'une institution, celle-ci doit fournir des preuves plus claires et une chronologie, plutôt que de s'appuyer uniquement sur une brève réponse verbale.
Du point de vue de la communication de crise, reconnaître dès la première occasion qu'une enquête n'est pas encore terminée est une approche différente de celle consistant à qualifier directement un signal anormal de faux positif. La première préserve un espace pour une vérification ultérieure, tandis que la seconde peut consommer la confiance du marché avant que les faits ne soient clarifiés. CoinDCX a également reconnu plus tard que l'enquête sur l'ancienne infrastructure avait pris un certain temps et que la plateforme aurait pu être plus proactive dans l'explication de la situation au monde extérieur.
Pour les plateformes d'échange, la transparence n'exige pas de publier tous les détails techniques au stade initial d'une enquête, mais elle exige de distinguer clairement les faits confirmés, les inférences encore en attente de vérification et les mesures que la plateforme prend.
Où sont allés les 15,99 millions d'USDT ? Suivre les fonds n'est pas la même chose que récupérer les actifs
Selon une enquête de la société d'analyse de données blockchain Bitquery, les attaquants ont transféré environ 15,99 millions d'USDT depuis environ 40 adresses TRON associées à CoinDCX, dont environ 15,82 millions d'USDT provenaient d'une seule adresse, représentant la grande majorité de la perte totale. L'enquête a également montré qu'après avoir été transférés, les fonds ont été fractionnés et déplacés via plusieurs adresses, avec environ 9,63 millions de dollars entrant dans des adresses de dépôt associées à OKX, Binance et Gate.
Ce chemin de fonds a une signification à deux égards.
Premièrement, la fragmentation des fonds ne signifie pas que le suivi on-chain est devenu inefficace. Même si les actifs sont transférés via de multiples adresses intermédiaires, les enregistrements de transactions restent sur la blockchain, et les enquêteurs peuvent reconstituer une partie du flux de fonds en se basant sur les corrélations temporelles, de montant et d'adresses. Si les actifs entrent dans des plateformes d'échange centralisées dotées de mécanismes d'identification des clients, les adresses de dépôt concernées peuvent également fournir des indices pour les enquêtes ultérieures.
Mais deuxièmement, le suivi on-chain ne signifie pas que les fonds ont été récupérés. Le fait que des actifs entrent dans une adresse de dépôt d'une plateforme d'échange indique seulement que les fonds ont afflué vers l'adresse concernée ; cela ne prouve pas directement que la plateforme d'échange a identifié le contrôleur ultime, ni que tous les actifs ont été gelés ou restitués. Le résultat final dépend encore de la coopération de la plateforme, de l'identification des comptes, des procédures d'application de la loi et des enquêtes ultérieures.
Pour les stablecoins émis de manière centralisée tels que l'USDT, l'émetteur peut, conformément à ses propres politiques et aux exigences légales applicables, geler des adresses spécifiques. Cependant, la possibilité d'un gel, le moment où il se produit et la question de savoir si le montant gelé couvre l'ensemble des pertes nécessitent tous le soutien de preuves spécifiques. On ne peut pas supposer que le processus de récupération est achevé simplement parce que certains fonds sont entrés dans des plateformes d'échange.
Cela montre également que l'impact des incidents de sécurité des plateformes d'échange s'étend souvent au-delà de la plateforme où le problème s'est initialement produit. Lorsque les fonds affluent vers d'autres plateformes d'échange, transitent par des portefeuilles intermédiaires ou entrent dans des canaux inter-chaînes, l'incident peut se transformer en une question de collaboration impliquant plusieurs institutions. La récupération des actifs dépend non seulement des capacités d'enquête de la plateforme victime elle-même, mais aussi du partage d'informations et de la rapidité de réaction à l'échelle de l'industrie.
Pour les utilisateurs, la transparence on-chain peut améliorer l'observabilité d'un incident, mais elle ne peut pas éliminer le risque de perte d'actifs. Les enregistrements publics aident à suivre les fonds, mais ils ne peuvent pas remplacer le contrôle des risques ex ante.
Quel type de vérification est encore nécessaire pour la promesse que les fonds des utilisateurs ne sont pas affectés ?
CoinDCX a souligné que la perte cette fois sera supportée par l'entreprise, que les soldes des comptes utilisateurs, les portefeuilles actuels et les systèmes de trading n'ont pas été affectés, et que les services de dépôt, de retrait et de trading de la plateforme restent également normaux.
Cette déclaration est importante, mais le marché doit encore distinguer trois niveaux différents : si le solde affiché dans les comptes utilisateurs est complet, si la plateforme dispose d'actifs réels suffisants pour couvrir les passifs concernés, et pourquoi les fonds de l'ancienne adresse concernée sont restés bloqués pendant une longue période.
Dans le modèle opérationnel des plateformes d'échange centralisées, les soldes des comptes utilisateurs reflètent généralement les enregistrements comptables internes de la plateforme et ne signifient pas que chaque actif d'utilisateur correspond un à un à une adresse on-chain indépendante. Par conséquent, même si les soldes des utilisateurs restent inchangés, il est encore nécessaire de confirmer la relation entre les actifs réels de la plateforme et les passifs envers les utilisateurs au moyen d'une réconciliation comptable interne, d'une preuve d'actifs et d'audits indépendants.
CoinDCX a déclaré qu'elle supportera les pertes, ce qui signifie que la plateforme doit utiliser ses propres ressources pour absorber ce déficit de financement. Cependant, la question de savoir si cet engagement peut obtenir une reconnaissance durable du marché dépend encore de la suffisance des divulgations ultérieures, notamment la manière dont les pertes sont comptabilisées, à quel stade le service de collecte a échoué, pourquoi l'ancienne adresse a continué à recevoir des fonds, et si les mesures de contrôle concernées ont été réparées.
Ce qui est particulièrement digne d'être remis en question, c'est pourquoi la plateforme a pu continuer à créditer des dépôts à l'ancienne adresse mais n'a pas réussi à découvrir rapidement l'anomalie selon laquelle les fonds n'étaient pas collectés. Si un dépôt est déjà entré dans un compte utilisateur, mais que les actifs correspondants restent longtemps à une adresse à risque, alors la question de savoir s'il existe un mécanisme de réconciliation suffisamment rapide entre la comptabilité interne et les actifs on-chain devient une question à laquelle il faut répondre.
Il ne s'agit pas d'un rejet direct de l'engagement de CoinDCX envers la sécurité des fonds des utilisateurs, mais plutôt d'une insistance sur le fait qu'après une perte impliquant des dizaines de millions de dollars, le simple fait de déclarer que « les actifs des utilisateurs ne sont pas affectés » ne suffit pas à compléter l'explication des risques. Une approche plus convaincante consiste à fournir des explications comptables vérifiables, les résultats de la rectification des systèmes et des mesures de contrôle pouvant prouver que des anomalies similaires ne continueront plus à s'accumuler.
La concurrence en matière de sécurité des plateformes d'échange passe de la protection des portefeuilles à la gouvernance de l'ensemble du processus
La tendance de l'industrie reflétée par l'incident CoinDCX est que les critères d'évaluation de la sécurité des plateformes d'échange passent de la protection ponctuelle des clés à une gouvernance opérationnelle plus complète.
Par le passé, lorsque le marché discutait de la sécurité des échanges, il se concentrait souvent d'abord sur la question de savoir si les clés privées étaient stockées hors ligne, si des limites étaient fixées pour les portefeuilles chauds, si la multisignature était déployée et si les actifs des portefeuilles froids étaient isolés du système de trading. Ces mesures restent importantes, mais elles ne traitent principalement que certains problèmes liés à la garde des actifs et ne peuvent pas couvrir automatiquement des domaines tels que la gestion des anciennes adresses, la collecte anormale de fonds, la dépendance à l'égard de services tiers, les permissions internes et la communication en cas d'incident.
Un système de sécurité plus mature devrait intégrer l'ensemble du processus des portefeuilles, depuis la création, l'activation et la migration jusqu'à la désactivation, dans la gestion. Pour les adresses qui ont été abandonnées mais qui peuvent encore recevoir des actifs, la plateforme doit clarifier les responsabilités de surveillance, fixer des seuils de solde anormal et déclencher des alertes et une intervention manuelle lorsque le service de collecte automatisée tombe en panne. Si une ancienne adresse ne remplit plus les conditions d'une gestion sécurisée, la plateforme doit également établir des limites de risque claires entre les notifications aux utilisateurs, l'identification des dépôts et la disposition des actifs.
En même temps, les systèmes automatisés devraient disposer de capacités de détection des pannes, de surveillance de l'accumulation des tâches et d'audit des flux de fonds anormaux. Le bon fonctionnement d'un système ne doit pas être jugé uniquement à l'aune de la disponibilité du service en ligne ; il est également nécessaire de confirmer si les tâches commerciales clés sont réellement accomplies. Pour les échanges, le processus de transfert des fonds des adresses de dépôt des utilisateurs vers les portefeuilles cibles doit comporter des enregistrements d'état pouvant être vérifiés de manière indépendante.
Enfin, la gouvernance de la sécurité doit également former une boucle fermée avec la divulgation externe. Lorsque des transactions anormales se produisent, la plateforme doit protéger rapidement les actifs existants et également expliquer aux utilisateurs dès que possible la portée de l'incident, les pertes confirmées, les systèmes affectés et l'avancement de l'enquête. Une communication rapide ne peut pas remplacer la remédiation technique, mais elle peut réduire le coût de confiance causé par la propagation continue de l'incertitude.
La perte de CoinDCX cette fois s'élevait à environ 15,99 millions d'USDT. Le montant est certes notable, mais l'impact à long terme de l'incident peut dépendre davantage de la manière dont la plateforme explique et répare les risques laissés par l'ancienne infrastructure. Pour l'ensemble de l'industrie du trading de cryptomonnaies, c'est également un rappel : la sécurité ne se termine pas à l'achèvement de la migration des portefeuilles ; il est plutôt nécessaire de garantir que chaque adresse, service et processus interne susceptible d'entrer encore en contact avec les actifs des utilisateurs se trouve dans un périmètre clair de responsabilité et de contrôle.
À mesure que les échanges continuent d'étendre l'échelle des utilisateurs, d'ajouter des types d'actifs et d'accroître l'automatisation, la véritable capacité de sécurité se reflète non seulement dans l'endroit où les fonds sont conservés, mais aussi dans la capacité à détecter, bloquer, vérifier et expliquer rapidement au marché de manière vérifiable les anomalies après qu'elles se sont produites. La capacité de CoinDCX à reconstruire la confiance dépendra en fin de compte de la capacité des enquêtes et des mesures correctives ultérieures à répondre à ces questions, et non simplement de savoir qui supporte une perte unique.
