Pas de fumée sans feu. Mercredi matin, le PDG de CoinDCX parlait de « fausse alerte » à propos de fonds siphonnés sur la blockchain Tron. L’exchange indien a fini par reconnaître hier une perte de 15,99 millions d’USDT, soit environ 16 millions de dollars, sur d’anciennes adresses déjà compromises lors du hack de juillet 2025.
Ce premier piratage avait déjà coûté 44 millions de dollars à la plateforme. Le détective on-chain ZachXBT conseille désormais aux clients de tout retirer.
CoinDCX : de la « fausse alerte » aux « pertes opérationnelles »
Tout commence le mardi 20 octobre, à 11h35 heure de New York. Environ 15,99 millions d’USDT et 5 783 TRX quittent alors un hot wallet de CoinDCX, ce portefeuille connecté en permanence, ainsi que plusieurs de ses adresses de dépôt. Destination unique, une adresse Tron. Le plus gros virement pèse 15 819 002 USDT à lui seul. Le cofondateur de FlashRescue, connu sous le pseudonyme Darcy, a suivi la suite. Les fonds sont découpés puis dispersés vers des adresses de dépôt chez Binance, OKX et Gate.
Darcy sonne l’alarme sur X mercredi à 1h30, heure de New York. Le PDG Sumit Gupta lui répond en moins de trois heures que l’information est « incorrecte » et que les portefeuilles de CoinDCX n’ont « pas été piratés ». Les adresses visées auraient été compromises dès juillet 2025. « Cela ressemble à une fausse alerte », tranche-t-il. Le compte officiel de l’exchange enchaîne quatre minutes plus tard et qualifie les signalements de « trompeurs ».
Le ton change vite. À 5h59, Gupta assure à ZachXBT que l’équipe « enquête plus avant » et qu’« aucun fonds d’utilisateur ne sera perdu ». À 7h47, CoinDCX admet qu’une panne de son service de transfert automatique a provoqué « des pertes opérationnelles, absorbées par CoinDCX ». Sans le moindre montant. Il faudra attendre dimanche et un billet de blog pour lire le chiffre de 15,99 millions d’USDT, relevé par The Block le 25 octobre.
Le balayage en panne, talon d’Achille de CoinDCX
Le cœur du problème tient dans une phrase du billet de CoinDCX. Son « service de balayage automatisé », qui déplace les fonds d’un portefeuille à l’autre, « a échoué pendant une certaine période ». Traduisez. Chaque client d’un exchange reçoit une adresse de dépôt, qu’un robot vide régulièrement vers des portefeuilles mieux gardés. Robot à l’arrêt, l’argent s’entasse là où il ne devrait jamais dormir.
Et l’endroit était mal choisi. Ces adresses appartenaient à l’ancienne infrastructure, celle que l’exchange décrit lui-même comme porteuse de « vulnérabilités inconnues ». Les dépôts continuaient d’arriver sur des adresses compromises sans que personne ne les vide, et l’attaquant n’avait plus qu’à se baisser.
Pourquoi ces adresses recevaient-elles encore de l’argent quinze mois après le hack ? ZachXBT avance une explication. Selon lui, l’une d’elles a servi à un fournisseur de liquidité pendant dix mois après l’incident de juillet 2025. Elle transférait encore des dépôts de clients vers le hot wallet actuel de CoinDCX en avril et en mai 2026. Le détective évoque « 15,8 millions de dollars de dépôts d’utilisateurs dont votre équipe n’a pas rendu compte ».
Les pirates de juillet 2025 avaient vidé un compte opérationnel servant à fournir de la liquidité sur une plateforme partenaire, selon les fondateurs cités par le Deccan Herald. La police de Bengaluru a ensuite établi que des escrocs se faisant passer pour des recruteurs avaient convaincu un ingénieur d’installer un logiciel malveillant sur son ordinateur professionnel.
ZachXBT exhorte les clients de CoinDCX à tout retirer
Le détective n’a pas pris de gants. « Retirez tous vos fonds de CoinDCX si vous tenez à vos actifs », a-t-il lancé à ses abonnés. Pour ZachXBT, des cofondateurs qui ont nié le vol en public comme en privé ont soit « carrément menti », soit fait preuve d’une « incompétence coupable ». Il affirme aussi avoir aidé à geler une somme à six chiffres pour le compte de la plateforme.
CoinDCX maintient que les fonds des clients dorment dans des cold wallets séparés, des portefeuilles hors ligne, et que dépôts, retraits et échanges fonctionnent normalement. Interrogée par The Block, l’agence de relations presse de l’exchange a renvoyé vers le billet de blog sans répondre aux questions précises.
L’affaire tombe au plus mal. Coinbase a investi dans CoinDCX en octobre 2025, sur une valorisation de 2,45 milliards de dollars avancée par Gupta. La police indienne avait arrêté en mars Gupta et son cofondateur Neeraj Khandelwal après une plainte pour fraude. L’exchange accusait alors des escrocs d’avoir usurpé son identité avec un site clone.
