Klucz do incydentu CoinDCX leży w oczywistej luce między „portfel został dezaktywowany” a „powiązane procedury przetwarzania środków wciąż działają”.
Zgodnie z oświadczeniem opublikowanym przez CoinDCX 25 października, zaangażowany portfel należał do starej infrastruktury operacyjnej, która została porzucona po incydencie bezpieczeństwa w lipcu 2025 roku. Ponieważ niektórzy użytkownicy nadal przesyłali aktywa na przestarzałe adresy, platforma zdecydowała się kontynuować księgowanie powiązanych depozytów, a następnie za pośrednictwem automatycznej usługi sweepingu przenieść środki do portfela głównego. Jednak przez pewien okres automatyczna usługa sweepingu nie działała prawidłowo, co spowodowało, że środki pozostały zablokowane na starych adresach i ostatecznie doprowadziło do straty około 15,99 mln USDT.
Z perspektywy doświadczenia użytkownika takie rozwiązanie nie jest całkowicie nierozsądne. Przelewy kryptowalut są nieodwracalne. Jeśli użytkownicy przesyłają środki na stare adresy, a giełda po prostu rezygnuje z ich przetwarzania, użytkownicy mogą stanąć w obliczu dylematu niemożności odzyskania swoich aktywów. Kontynuowanie identyfikacji starych adresów i przetwarzania omyłkowo przesłanych depozytów jest w rzeczywistości próbą znalezienia równowagi między obsługą użytkownika a migracją infrastruktury.
Ale właśnie tutaj pojawia się problem: gdy giełda decyduje się kontynuować przetwarzanie środków na starych adresach, oznacza to, że nie może po prostu zaprzestać wyświetlania adresów i uznać, że powiązane obowiązki w zakresie bezpieczeństwa zostały zakończone. Dopóki stare adresy mogą nadal otrzymywać aktywa, platforma musi wyjaśnić, kto jest odpowiedzialny za monitorowanie, w jaki sposób środki są przenoszone, jak anomalie wyzwalają alerty i jakie środki należy podjąć, gdy system sweepingu zawodzi.
Innymi słowy, fakt, że stary portfel nie jest już częścią normalnych procesów biznesowych, nie oznacza, że opuścił zakres zarządzania ryzykiem. Jeśli platforma nadal księguje powiązane depozyty, ale nie może zapewnić, że środki zostaną przeniesione zgodnie z oczekiwaniami, to stare adresy w rzeczywistości nadal znajdują się w łańcuchu odpowiedzialności operacyjnej giełdy.
To jest również powód, dla którego ten incydent zasługuje na uwagę branży. Atakujący wykorzystali nie tylko adres portfela z lukami w zabezpieczeniach, ale także możliwe luki w zarządzaniu między wycofaniem portfela, przetwarzaniem depozytów użytkowników i automatycznym sweepingiem.
Od 44 mln do 16 mln dolarów – dlaczego ryzyko pojawiło się ponownie?
CoinDCX doświadczył incydentu bezpieczeństwa o wartości około 44 mln dolarów w lipcu 2025 roku. Strata około 15,99 mln USDT tym razem nie jest dokładnie tą samą sytuacją co poprzedni incydent, ale istnieje związek wart zakwestionowania: czy po poprzednim incydencie bezpieczeństwa ryzyka starej infrastruktury zostały wystarczająco odizolowane i czy powiązane procedury przetwarzania aktywów zostały systematycznie naprawione?
CoinDCX oświadczył, że zaangażowany stary portfel został porzucony po incydencie z 2025 roku, ale to dochodzenie wykazało, że automatyczna usługa sweepingu nie działała przez pewien czas, powodując gromadzenie się środków. Platforma podała, że strata tym razem zostanie poniesiona przez firmę, że obecne systemy handlowe i portfelowe nie zostały dotknięte, a salda środków użytkowników również nie zostały naruszone.
Oznacza to, że obu incydentów nie można po prostu zidentyfikować jako tego samego rodzaju ataku, ani nie można bezpośrednio twierdzić, w przypadku braku pełnego raportu kryminalistycznego, że cała architektura bezpieczeństwa platformy zawiodła systemowo. Jednak powtarzające się pojawianie się poważnych ryzyk związanych ze starymi portfelami wystarcza, aby skłonić osoby z zewnątrz do pytania: czy poprzednia naprawa bezpieczeństwa polegała jedynie na wymianie niektórych adresów i systemów, czy też objęła już kompletne procesy zarządzania kluczami, monitorowania historycznych adresów, obsługi nietypowych depozytów i sweepingu środków?
W codziennej działalności scentralizowanych giełd system portfeli zazwyczaj nie jest zestawem niezależnych adresów, lecz złożoną architekturą obejmującą adresy depozytowe, usługi sweepingu, portfele gorące, portfele zimne, dostawców płynności i wewnętrzne systemy księgowe. Problemy w którymkolwiek z ogniw mogą wpłynąć na przepływ środków. Jeśli naprawa bezpieczeństwa koncentruje się tylko na wymianie kluczy lub migracji aktywnych portfeli, bez jednoczesnego czyszczenia historycznych uprawnień, dezaktywacji powiązanych usług i ciągłego monitorowania starych adresów, ryzyka mogą pojawić się ponownie w różnych formach.
Co bardziej godne uwagi, zautomatyzowane systemy same w sobie nie są z natury równoznaczne z bezpieczeństwem. Automatyczny sweeping może zmniejszyć liczbę operacji ręcznych i poprawić wydajność przetwarzania środków, ale gdy przerwy w usłudze, zaległości zadań lub stany anomalne pozostaną niewykryte, narzędzia pierwotnie mające na celu obniżenie kosztów operacyjnych mogą również stać się kanałami gromadzenia ryzyka.
Dlatego to, co ten incydent naprawdę testuje, to nie to, czy giełda posiada zimne portfele, ale czy potrafi udowodnić, że cały cykl życia środków znajduje się w stanie, który można monitorować, śledzić i w odpowiednim czasie interweniować.
Dlaczego dane on-chain mają większą wagę niż natychmiastowa odpowiedź słowna?
Kolejną ważną wskazówką w tym incydencie jest luka czasowa między początkową reakcją CoinDCX na nietypowe przelewy a jej późniejszym formalnym oświadczeniem.
22 października CEO Sumit Gupta odpowiedział na alert o nietypowym przelewie zgłoszony przez badacza on-chain, mówiąc, że zaangażowany adres należał do starego portfela dotkniętego incydentem bezpieczeństwa z 2025 roku i że alert mógł być "fałszywym alarmem". Później badacz on-chain ZachXBT zgłosił wątpliwości, wskazując, że co najmniej jeden z zaangażowanych adresów był nadal używany przez dostawcę płynności po incydencie z lipca 2025 roku i przesłał środki do obecnego gorącego portfela CoinDCX w kwietniu i maju 2026 roku. CoinDCX ostatecznie przyznał 25 października, że wystąpiły problemy ze starą infrastrukturą, i ujawnił kwotę straty.
Proces ten odzwierciedla coraz bardziej oczywistą zmianę w branży kryptowalut: publiczny rejestr on-chain zmienia relacje informacyjne między giełdami a rynkiem.
Przepływ środków w tradycyjnych instytucjach finansowych zwykle opiera się na wewnętrznych rejestrach, raportach audytowych i ujawnieniach regulacyjnych, co sprawia, że zewnętrznym obserwatorom trudno jest natychmiast uchwycić konkretne ścieżki transakcji po wystąpieniu incydentu. W środowisku publicznego łańcucha jednak czas przelewu, kwota, hash transakcji i przepływy środków między adresami mogą być stale śledzone przez zewnętrznych badaczy. Chociaż rzeczywistych kontrolerów stojących za adresami może nie da się bezpośrednio zidentyfikować, dane publiczne wystarczą, aby przetestować wyjaśnienia niektórych instytucji.
Nie oznacza to, że każde osądzenie badaczy on-chain jest z konieczności poprawne. Zapisy on-chain mogą udowodnić, kiedy i ile aktywów zostało przesłanych, ale same w sobie niekoniecznie dowodzą, kto kontrolował adres, jak środki były księgowane wewnątrz giełdy ani jak powstała konkretna luka. Dlatego ustalenie charakteru incydentu nadal wymaga połączenia oświadczeń platformy, dochodzeń technicznych i wewnętrznych zapisów księgowych.
Jednak dla giełd informacje on-chain nie są już tylko narzędziem rozliczalności po fakcie; mogą również stać się ważną podstawą dla rynku do oceny ryzyka. Kiedy dane publiczne znacznie różnią się od początkowego wyjaśnienia instytucji, instytucja musi przedstawić jaśniejsze dowody i harmonogram, zamiast opierać się wyłącznie na krótkiej odpowiedzi słownej.
Z perspektywy komunikacji kryzysowej przyznanie przy pierwszej okazji, że dochodzenie nie zostało jeszcze zakończone, jest innym podejściem niż bezpośrednie scharakteryzowanie nietypowego sygnału jako fałszywego alarmu. To pierwsze zachowuje miejsce na późniejszą weryfikację, podczas gdy to drugie może nadwyrężyć zaufanie rynku, zanim fakty zostaną wyjaśnione. CoinDCX później również przyznał, że dochodzenie w sprawie starej infrastruktury zajęło trochę czasu i że platforma mogła być bardziej proaktywna w wyjaśnianiu sytuacji światu zewnętrznemu.
Dla giełd przejrzystość nie wymaga publikowania wszystkich szczegółów technicznych na początkowym etapie dochodzenia, ale wymaga jasnego rozróżnienia potwierdzonych faktów, wniosków wciąż oczekujących na weryfikację i środków podejmowanych przez platformę.
Dokąd trafiło 15,99 miliona USDT? Śledzenie środków to nie to samo co odzyskiwanie aktywów
Według dochodzenia firmy analitycznej ds. danych blockchain Bitquery, atakujący przesłali około 15,99 miliona USDT z około 40 adresów TRON powiązanych z CoinDCX, z czego około 15,82 miliona USDT pochodziło z jednego adresu, co stanowi zdecydowaną większość całkowitej straty. Dochodzenie wykazało również, że po przesłaniu środki zostały podzielone i przeniesione przez wiele adresów, a około 9,63 miliona dolarów trafiło na adresy depozytowe powiązane z OKX, Binance i Gate.
Ta ścieżka środków ma znaczenie pod dwoma względami.
Po pierwsze, podział środków nie oznacza, że śledzenie on-chain stało się nieskuteczne. Nawet jeśli aktywa są transferowane przez wiele adresów pośrednich, zapisy transakcji pozostają na blockchainie, a śledczy mogą odtworzyć część przepływu środków na podstawie korelacji czasu, kwot i adresów. Jeśli aktywa trafią do scentralizowanych platform handlowych z mechanizmami identyfikacji klientów, powiązane adresy depozytowe mogą również dostarczyć wskazówek do dalszych dochodzeń.
Po drugie jednak, śledzenie on-chain nie jest tym samym co odzyskanie środków. Aktywa trafiające na adres depozytowy platformy handlowej wskazują jedynie, że środki wpłynęły na odpowiedni adres; nie dowodzi to bezpośrednio, że platforma handlowa zidentyfikowała ostatecznego kontrolera, ani nie dowodzi, że wszystkie aktywa zostały zamrożone lub zwrócone. Ostateczny wynik nadal zależy od współpracy platformy, identyfikacji konta, procedur egzekwowania prawa i późniejszych dochodzeń.
W przypadku scentralizowanie emitowanych stablecoinów, takich jak USDT, emitent może, zgodnie z własnymi zasadami i obowiązującymi wymogami prawnymi, zamrozić określone adresy. Jednak to, czy zamrożenie jest możliwe, kiedy nastąpi i czy zamrożona kwota pokrywa wszystkie straty, wymaga wsparcia konkretnymi dowodami. Nie można zakładać, że proces odzyskiwania został zakończony tylko dlatego, że część środków trafiła na giełdy.
Pokazuje to również, że skutki incydentów bezpieczeństwa giełd często wykraczają poza platformę, na której początkowo wystąpił problem. Gdy środki wpływają na inne giełdy, przechodzą przez portfele pośrednie lub wchodzą do kanałów cross-chain, incydent może przekształcić się w kwestię wymagającą współpracy wielu instytucji. Odzyskiwanie aktywów zależy nie tylko od zdolności dochodzeniowych samej poszkodowanej platformy, ale także od wymiany informacji i szybkości reakcji w całej branży.
Dla użytkowników przejrzystość on-chain może poprawić obserwowalność incydentu, ale nie może wyeliminować ryzyka utraty aktywów. Publiczne zapisy pomagają śledzić środki, ale nie mogą zastąpić kontroli ryzyka ex ante.
Jakiego rodzaju weryfikacja jest jeszcze potrzebna w przypadku obietnicy, że środki użytkowników nie są dotknięte?
CoinDCX podkreślił, że strata tym razem zostanie poniesiona przez firmę, że salda kont użytkowników, obecne portfele i systemy handlowe nie zostały dotknięte, a usługi depozytowe, wypłat i handlowe platformy również pozostają normalne.
To stwierdzenie jest ważne, ale rynek nadal musi rozróżnić trzy różne poziomy: czy saldo wyświetlane na kontach użytkowników jest kompletne, czy platforma posiada rzeczywiste aktywa wystarczające do pokrycia odpowiednich zobowiązań oraz dlaczego środki na zaangażowanym starym adresie pozostawały zablokowane przez długi czas.
W modelu operacyjnym scentralizowanych giełd salda kont użytkowników zwykle odzwierciedlają wewnętrzne zapisy księgowe platformy i nie oznaczają, że każde aktywo użytkownika odpowiada jeden do jednego niezależnemu adresowi on-chain. Dlatego nawet jeśli salda użytkowników pozostają niezmienione, nadal konieczne jest potwierdzenie relacji między rzeczywistymi aktywami platformy a zobowiązaniami wobec użytkowników poprzez wewnętrzne uzgodnienie księgowe, dowód aktywów i niezależne audyty.
CoinDCX oświadczył, że poniesie straty, co oznacza, że platforma musi wykorzystać własne zasoby do pokrycia tej luki finansowej. Jednak to, czy to zobowiązanie może uzyskać trwałe uznanie rynku, nadal zależy od tego, czy późniejsze ujawnienia będą wystarczające, w tym w jaki sposób straty są rejestrowane, na jakim etapie usługa zbierania środków zawiodła, dlaczego stary adres nadal otrzymywał środki oraz czy odpowiednie środki kontroli zostały naprawione.
Szczególnie warte zakwestionowania jest to, dlaczego platforma mogła nadal uznawać depozyty na stary adres, ale nie zdołała w porę wykryć anomalii polegającej na tym, że środki nie zostały zebrane. Jeśli depozyt już wpłynął na konto użytkownika, ale odpowiednie aktywa pozostają przez długi czas pod ryzykownym adresem, to czy istnieje wystarczająco terminowy mechanizm uzgadniania między księgowością wewnętrzną a aktywami on-chain, staje się pytaniem wymagającym odpowiedzi.
Nie jest to bezpośrednie zaprzeczenie zobowiązaniu CoinDCX dotyczącemu bezpieczeństwa środków użytkowników, lecz podkreślenie, że po stracie obejmującej dziesiątki milionów dolarów samo stwierdzenie, że "aktywa użytkowników nie są dotknięte", nie wystarcza do pełnego wyjaśnienia ryzyka. Bardziej przekonującym podejściem jest przedstawienie weryfikowalnych wyjaśnień księgowych, wyników naprawy systemu oraz środków kontroli, które mogą dowieść, że podobne anomalie nie będą nadal się kumulować.
Konkurencja w zakresie bezpieczeństwa giełd przesuwa się z ochrony portfeli na zarządzanie pełnym procesem
Trend branżowy odzwierciedlony przez incydent CoinDCX polega na tym, że kryteria oceny bezpieczeństwa giełd przesuwają się z jednopunktowej ochrony kluczy na bardziej kompletne zarządzanie operacyjne.
W przeszłości, gdy rynek omawiał bezpieczeństwo giełd, często najpierw skupiał się na tym, czy klucze prywatne są przechowywane w trybie offline, czy dla gorących portfeli ustawiono limity, czy wdrożono multisignaturę oraz czy aktywa w zimnych portfelach są odizolowane od systemu transakcyjnego. Te środki pozostają ważne, ale dotyczą głównie niektórych problemów w zakresie przechowywania aktywów i nie obejmują automatycznie takich obszarów, jak zarządzanie starymi adresami, nieprawidłowe gromadzenie środków, poleganie na usługach stron trzecich, uprawnienia wewnętrzne i komunikacja w przypadku incydentów.
Dojrzalszy system bezpieczeństwa powinien obejmować zarządzaniem całym procesem portfeli od utworzenia, aktywacji i migracji aż po dezaktywację. W przypadku adresów, które zostały porzucone, ale nadal mogą otrzymywać aktywa, platforma musi jasno określić odpowiedzialność za monitorowanie, ustawić progi nieprawidłowego salda oraz uruchamiać alerty i interwencję manualną, gdy usługa automatycznego gromadzenia środków zawiedzie. Jeśli stary adres nie spełnia już warunków bezpiecznego obsługiwania, platforma musi również ustanowić jasne granice ryzyka między powiadomieniami użytkowników, identyfikacją depozytów a rozdysponowaniem aktywów.
Jednocześnie systemy automatyczne powinny mieć możliwości wykrywania awarii, monitorowania zaległości zadań i audytu nieprawidłowych przepływów środków. Czy system działa prawidłowo, nie powinno się oceniać wyłącznie na podstawie tego, czy usługa jest online; konieczne jest również potwierdzenie, czy kluczowe zadania biznesowe są rzeczywiście wykonywane. W przypadku giełd proces przenoszenia środków z adresów depozytowych użytkowników do docelowych portfeli musi mieć zapisy statusu, które można niezależnie zweryfikować.
Wreszcie, ład bezpieczeństwa musi również tworzyć zamknięty obieg z ujawnianiem zewnętrznym. Gdy wystąpią nieprawidłowe transakcje, platforma musi niezwłocznie zabezpieczyć istniejące aktywa, a także jak najszybciej wyjaśnić użytkownikom zakres incydentu, potwierdzone straty, dotknięte systemy i postęp dochodzenia. Terminowa komunikacja nie może zastąpić technicznych działań naprawczych, ale może zmniejszyć koszt zaufania spowodowany dalszym rozprzestrzenianiem się niepewności.
Strata CoinDCX tym razem wyniosła około 15,99 mln USDT. Kwota z pewnością zasługuje na uwagę, ale długoterminowy wpływ incydentu może zależeć bardziej od tego, jak platforma wyjaśni i naprawi ryzyka pozostawione przez starą infrastrukturę. Dla całej branży handlu kryptowalutami jest to również przypomnienie: bezpieczeństwo nie kończy się wraz z zakończeniem migracji portfeli; konieczne jest raczej zapewnienie, że każdy adres, usługa i proces wewnętrzny, które nadal mogą mieć kontakt z aktywami użytkowników, znajdują się w jasnym zakresie odpowiedzialności i kontroli.
W miarę jak giełdy nadal rozszerzają skalę użytkowników, dodają rodzaje aktywów i zwiększają automatyzację, prawdziwa zdolność bezpieczeństwa przejawia się nie tylko w tym, gdzie przechowywane są środki, ale także w tym, czy po wystąpieniu anomalii można je niezwłocznie wykryć, zablokować, zweryfikować i wyjaśnić rynkowi w weryfikowalny sposób. To, czy CoinDCX zdoła odbudować zaufanie, ostatecznie zależeć będzie od tego, czy późniejsze dochodzenia i działania naprawcze będą w stanie odpowiedzieć na te pytania, a nie wyłącznie od tego, kto ponosi pojedynczą stratę.
