A chave do incidente da CoinDCX está na lacuna óbvia entre "a carteira foi desativada" e "os procedimentos relacionados de processamento de fundos ainda estão em execução".
De acordo com uma declaração divulgada pela CoinDCX em 25 de outubro, a carteira envolvida pertencia a uma antiga infraestrutura operacional que foi abandonada após o incidente de segurança em julho de 2025. Como alguns usuários ainda estavam transferindo ativos para endereços obsoletos, a plataforma optou por continuar contabilizando os depósitos relacionados e, em seguida, por meio de um serviço automático de varredura, transferir os fundos para a carteira principal. No entanto, por um determinado período, o serviço automático de varredura falhou em funcionar adequadamente, fazendo com que os fundos permanecessem retidos nos endereços antigos e, ultimately, resultando em uma perda de aproximadamente 15,99 milhões de USDT.
Do ponto de vista da experiência do usuário, esse arranjo não é totalmente irracional. As transferências de criptomoedas são irreversíveis. Se os usuários transferirem fundos para endereços antigos e a exchange simplesmente abandonar o processamento, os usuários podem enfrentar o dilema de não conseguir recuperar seus ativos. Continuar a identificar endereços antigos e processar depósitos transferidos por engano é, na verdade, uma tentativa de equilibrar o atendimento ao usuário e a migração de infraestrutura.
Mas é também aqui que surge o problema: quando uma exchange decide continuar processando fundos em endereços antigos, isso significa que ela não pode simplesmente parar de exibir os endereços e considerar que as responsabilidades de segurança relacionadas estão encerradas. Enquanto os endereços antigos ainda puderem receber ativos, a plataforma deve esclarecer quem é responsável pelo monitoramento, como os fundos são transferidos, como as anomalias acionam alertas e quais medidas devem ser tomadas quando o sistema de varredura falha.
Em outras palavras, o fato de uma carteira antiga não fazer mais parte dos processos normais de negócios não significa que ela tenha saído do escopo da gestão de riscos. Se a plataforma ainda está contabilizando depósitos relacionados, mas não consegue garantir que os fundos sejam transferidos conforme o esperado, então os endereços antigos, na verdade, ainda estão dentro da cadeia de responsabilidade operacional da exchange.
É também por isso que este incidente merece a atenção do setor. O que os atacantes exploraram não foi apenas um endereço de carteira com vulnerabilidades de segurança, mas também as possíveis lacunas de gestão entre a desativação de carteiras, o processamento de depósitos de usuários e a varredura automática.
De US$ 44 milhões para US$ 16 milhões, por que o risco reapareceu?
A CoinDCX sofreu um incidente de segurança de aproximadamente US$ 44 milhões em julho de 2025. A perda de aproximadamente 15,99 milhões de USDT desta vez não é exatamente a mesma situação do incidente anterior, mas há uma conexão que vale a pena questionar: após o incidente de segurança anterior, os riscos da antiga infraestrutura foram suficientemente isolados, e os procedimentos relacionados de processamento de ativos foram sistematicamente corrigidos?
A CoinDCX declarou que a carteira antiga envolvida havia sido abandonada após o incidente de 2025, mas esta investigação descobriu que o serviço automático de varredura falhou por um período de tempo, causando acúmulo de fundos. A plataforma afirmou que a perda desta vez será arcada pela empresa, que os sistemas atuais de negociação e de carteira não foram afetados e que os saldos dos fundos dos usuários também não foram afetados.
Isso significa que os dois incidentes não podem ser simplesmente identificados como o mesmo tipo de ataque, nem se pode afirmar diretamente, na ausência de um relatório forense completo, que toda a arquitetura de segurança da plataforma falhou sistematicamente. No entanto, o surgimento repetido de grandes riscos relacionados a carteiras antigas é suficiente para levar observadores externos a perguntar: a correção de segurança anterior apenas substituiu alguns endereços e sistemas, ou já cobriu os processos completos de gestão de chaves, monitoramento de endereços históricos, tratamento de depósitos anormais e varredura de fundos?
Nas operações diárias de exchanges centralizadas, o sistema de carteiras geralmente não é um conjunto de endereços independentes, mas uma arquitetura complexa envolvendo endereços de depósito, serviços de varredura, carteiras quentes, carteiras frias, provedores de liquidez e sistemas internos de contabilidade. Problemas em qualquer um dos elos pode afetar o fluxo de fundos. Se a correção de segurança se concentrar apenas na substituição de chaves ou na migração de carteiras ativas, sem simultaneamente limpar permissões históricas, desativar serviços relacionados e monitorar continuamente endereços antigos, os riscos podem reaparecer de diferentes formas.
Mais notavelmente, os sistemas automatizados em si não são inerentemente equivalentes à segurança. A varredura automática pode reduzir operações manuais e melhorar a eficiência do processamento de fundos, mas, uma vez que interrupções de serviço, acúmulo de tarefas ou estados anormais passem despercebidos, ferramentas originalmente destinadas a reduzir custos operacionais também podem se tornar canais de acúmulo de riscos.
Portanto, o que este incidente realmente testa não é se a exchange possui carteiras frias, mas se ela pode provar que todo o ciclo de vida dos fundos está em um estado que seja monitorável, rastreável e sujeito a intervenção oportuna.
Por que os dados on-chain têm mais peso do que uma resposta verbal imediata?
Outra pista importante no incidente é o intervalo de tempo entre a resposta inicial da CoinDCX às transferências anormais e sua subsequente declaração formal.
Em 22 de outubro, o CEO Sumit Gupta respondeu a um alerta de transferência anormal levantado por um investigador on-chain, dizendo que o endereço envolvido pertencia a uma carteira antiga afetada no incidente de segurança de 2025 e que o alerta poderia ser um "falso positivo". Mais tarde, o investigador on-chain ZachXBT levantou dúvidas, apontando que pelo menos um dos endereços envolvidos ainda era usado por um provedor de liquidez após o incidente de julho de 2025 e havia transferido fundos para a carteira quente atual da CoinDCX em abril e maio de 2026. A CoinDCX acabou reconhecendo em 25 de outubro que houve problemas com a infraestrutura antiga e divulgou o valor da perda.
Esse processo reflete uma mudança cada vez mais óbvia na indústria cripto: o livro-razão público on-chain está mudando a relação de informação entre as exchanges e o mercado.
O fluxo de fundos em instituições financeiras tradicionais geralmente depende de livros-razão internos, relatórios de auditoria e divulgações regulatórias, tornando difícil para observadores externos compreender imediatamente os caminhos específicos das transações após a ocorrência de um incidente. Em um ambiente de blockchain pública, no entanto, o horário da transferência, o valor, o hash da transação e os fluxos de fundos entre endereços podem ser continuamente rastreados por pesquisadores externos. Embora os controladores reais por trás dos endereços possam não ser diretamente identificáveis, os dados públicos são suficientes para testar algumas explicações das instituições.
Isso não significa que todo julgamento dos investigadores on-chain seja necessariamente correto. Os registros on-chain podem provar quando e quanto de um ativo foi transferido, mas não necessariamente provam por si só quem controlava o endereço, como os fundos foram contabilizados dentro da exchange ou como a vulnerabilidade específica foi formada. Portanto, determinar a natureza do incidente ainda requer a combinação de declarações da plataforma, investigações técnicas e registros contábeis internos.
Mas, para as exchanges, a informação on-chain não é mais apenas uma ferramenta de prestação de contas após o fato; ela também pode se tornar uma base importante para o mercado julgar o risco. Quando os dados públicos diferem significativamente da explicação inicial de uma instituição, a instituição precisa fornecer evidências mais claras e uma linha do tempo, em vez de confiar apenas em uma breve resposta verbal.
Do ponto de vista da comunicação de crise, reconhecer na primeira oportunidade que uma investigação ainda não foi concluída é uma abordagem diferente de caracterizar diretamente um sinal anormal como falso positivo. A primeira preserva espaço para verificação subsequente, enquanto a segunda pode consumir a confiança do mercado antes que os fatos sejam esclarecidos. A CoinDCX também reconheceu posteriormente que a investigação da infraestrutura antiga levou algum tempo e que a plataforma poderia ter sido mais proativa ao explicar a situação ao mundo exterior.
Para as exchanges, a transparência não exige a publicação de todos os detalhes técnicos na fase inicial de uma investigação, mas exige distinguir claramente fatos confirmados, inferências ainda aguardando verificação e medidas que a plataforma está tomando.
Para onde foram os 15,99 milhões de USDT? Rastrear fundos não é o mesmo que recuperar ativos
De acordo com uma investigação da empresa de análise de dados blockchain Bitquery, os atacantes transferiram aproximadamente 15,99 milhões de USDT de cerca de 40 endereços TRON associados à CoinDCX, dos quais cerca de 15,82 milhões de USDT vieram de um único endereço, representando a grande maioria da perda total. A investigação também mostrou que, após serem transferidos, os fundos foram divididos e movidos por vários endereços, com cerca de US$ 9,63 milhões entrando em endereços de depósito associados à OKX, Binance e Gate.
Esse caminho dos fundos tem significado em dois aspectos.
Primeiro, a divisão dos fundos não significa que o rastreamento on-chain tenha se tornado ineficaz. Mesmo que os ativos sejam transferidos por meio de múltiplos endereços intermediários, os registros de transações permanecem na blockchain, e os investigadores podem reconstruir parte do fluxo de fundos com base em correlações de tempo, valor e endereço. Se os ativos entrarem em plataformas de negociação centralizadas com mecanismos de identificação de clientes, os endereços de depósito relacionados também poderão fornecer pistas para investigações subsequentes.
Mas, em segundo lugar, o rastreamento on-chain não é o mesmo que os fundos terem sido recuperados. Os ativos que entram no endereço de depósito de uma plataforma de negociação indicam apenas que os fundos fluíram para o endereço relevante; isso não prova diretamente que a plataforma de negociação identificou o controlador final, nem prova que todos os ativos foram congelados ou devolvidos. O resultado final ainda depende da cooperação da plataforma, da identificação da conta, dos procedimentos de aplicação da lei e das investigações subsequentes.
Para stablecoins emitidas centralmente, como o USDT, o emissor pode, em conformidade com suas próprias políticas e requisitos legais aplicáveis, congelar endereços específicos. No entanto, se o congelamento é possível, quando ocorre e se o valor congelado cobre todas as perdas exigem todos o suporte de evidências específicas. Não se pode presumir que o processo de recuperação foi concluído simplesmente porque alguns fundos entraram em exchanges.
Isso também mostra que o impacto de incidentes de segurança em exchanges frequentemente se estende além da plataforma onde o problema ocorreu inicialmente. Quando os fundos fluem para outras exchanges, passam por carteiras intermediárias ou entram em canais cross-chain, o incidente pode se transformar em uma questão colaborativa envolvendo múltiplas instituições. A recuperação de ativos depende não apenas da capacidade investigativa da própria plataforma vítima, mas também do compartilhamento de informações e da velocidade de resposta em todo o setor.
Para os usuários, a transparência on-chain pode melhorar a observabilidade de um incidente, mas não pode eliminar o risco de perda de ativos. Registros públicos ajudam a rastrear fundos, mas não podem substituir o controle de risco ex ante.
Que tipo de verificação ainda é necessária para a promessa de que os fundos dos usuários não são afetados?
A CoinDCX enfatizou que a perda desta vez será suportada pela empresa, que os saldos das contas dos usuários, as carteiras atuais e os sistemas de negociação não foram afetados, e que os serviços de depósito, saque e negociação da plataforma também permanecem normais.
Essa declaração é importante, mas o mercado ainda precisa distinguir três níveis diferentes: se o saldo exibido nas contas dos usuários está completo, se a plataforma possui ativos reais suficientes para cobrir os passivos relevantes e por que os fundos no endereço antigo envolvido permaneceram retidos por um longo período.
Sob o modelo operacional das exchanges centralizadas, os saldos das contas dos usuários geralmente refletem os registros contábeis internos da plataforma e não significam que cada ativo de usuário corresponda um a um a um endereço on-chain independente. Portanto, mesmo que os saldos dos usuários permaneçam inalterados, ainda é necessário confirmar a relação entre os ativos reais da plataforma e os passivos dos usuários por meio de conciliação contábil interna, prova de ativos e auditorias independentes.
A CoinDCX declarou que assumirá as perdas, o que significa que a plataforma precisa usar seus próprios recursos para absorver essa lacuna de financiamento. No entanto, se esse compromisso pode obter reconhecimento sustentado do mercado ainda depende de se as divulgações subsequentes são suficientes, incluindo como as perdas são registradas, em que estágio o serviço de coleta falhou, por que o endereço antigo continuou a receber fundos e se as medidas de controle relevantes foram reparadas.
O que é especialmente digno de questionamento é por que a plataforma foi capaz de continuar creditando depósitos no endereço antigo, mas não conseguiu descobrir prontamente a anomalia de que os fundos não foram coletados. Se um depósito já entrou na conta de um usuário, mas os ativos correspondentes permanecem por um longo tempo em um endereço de risco, então se existe um mecanismo de conciliação suficientemente oportuno entre a contabilidade interna e os ativos on-chain torna-se uma questão que precisa ser respondida.
Isso não é uma negação direta do compromisso da CoinDCX com a segurança dos fundos dos usuários, mas sim uma ênfase em que, após uma perda envolvendo dezenas de milhões de dólares, apenas declarar que "os ativos dos usuários não são afetados" não é suficiente para completar a explicação de risco. Uma abordagem mais convincente é fornecer explicações contábeis verificáveis, os resultados da retificação do sistema e medidas de controle que possam provar que anomalias semelhantes não continuarão a se acumular.
A competição de segurança das exchanges está mudando da proteção de carteiras para a governança de todo o processo
A tendência do setor refletida pelo incidente da CoinDCX é que os critérios de avaliação da segurança das exchanges estão mudando da proteção de chaves em ponto único para uma governança operacional mais completa.
No passado, quando o mercado discutia a segurança das exchanges, muitas vezes o primeiro foco era se as chaves privadas eram armazenadas offline, se as hot wallets tinham limites definidos, se a multifirma era implantada e se os ativos da cold wallet eram isolados do sistema de negociação. Essas medidas continuam importantes, mas tratam principalmente de alguns dos problemas na custódia de ativos e não conseguem cobrir automaticamente áreas como gestão de endereços antigos, coleta anormal de fundos, dependência de serviços de terceiros, permissões internas e comunicação de incidentes.
Um sistema de segurança mais maduro deve incorporar todo o processo das wallets, desde a criação, ativação e migração até a desativação, ao gerenciamento. Para endereços que foram abandonados mas ainda podem receber ativos, a plataforma precisa esclarecer as responsabilidades de monitoramento, definir limites de saldo anormal e acionar alertas e intervenção manual quando o serviço automatizado de coleta falhar. Se um endereço antigo não possui mais as condições para manuseio seguro, a plataforma também precisa estabelecer limites de risco claros entre notificações aos usuários, identificação de depósitos e descarte de ativos.
Ao mesmo tempo, os sistemas automatizados devem ter capacidades para detecção de falhas, monitoramento de acúmulo de tarefas e auditoria de fluxos anormais de fundos. Se um sistema está operando normalmente não deve ser julgado apenas pela disponibilidade do serviço; também é necessário confirmar se as tarefas comerciais principais são realmente concluídas. Para as exchanges, o processo de transferência de fundos dos endereços de depósito dos usuários para as wallets de destino deve ter registros de status que possam ser verificados de forma independente.
Por fim, a governança de segurança também precisa formar um ciclo fechado com a divulgação externa. Quando ocorrem transações anormais, a plataforma deve proteger prontamente os ativos existentes e também explicar aos usuários o mais rápido possível o escopo do incidente, as perdas confirmadas, os sistemas afetados e o progresso da investigação. A comunicação oportuna não pode substituir a remediação técnica, mas pode reduzir o custo de confiança causado pela disseminação contínua da incerteza.
A perda da CoinDCX desta vez foi de aproximadamente 15,99 milhões de USDT. O valor certamente é digno de nota, mas o impacto de longo prazo do incidente pode depender mais de como a plataforma explica e repara os riscos deixados pela infraestrutura antiga. Para toda a indústria de negociação de criptomoedas, isso também é um lembrete: a segurança não termina quando a migração de wallets é concluída; em vez disso, é necessário garantir que cada endereço, serviço e processo interno que ainda possa entrar em contato com ativos dos usuários esteja dentro de um escopo claro de responsabilidade e controle.
À medida que as exchanges continuam a expandir a escala de usuários, adicionar tipos de ativos e aumentar a automação, a verdadeira capacidade de segurança se reflete não apenas em onde os fundos são custodiados, mas também em se as anomalias podem ser prontamente descobertas, bloqueadas, verificadas e explicadas ao mercado de forma verificável após ocorrerem. Se a CoinDCX conseguirá reconstruir a confiança dependerá, em última análise, de se as investigações e retificações subsequentes conseguem responder a essas perguntas, e não meramente de quem arca com uma única perda.
