CoinDCX

Eventi documentati con conseguenze non ancora chiuse. Ogni voce ha fonte e data.

1. 22 ott 2026 Hack / furto di fondi Grave 16 Mln USD ● aperto

   Circa 16 milioni di dollari in USDT sottratti da vecchi indirizzi di deposito con «vulnerabilità sconosciute»: dopo averlo negato, CoinDCX conferma la perdita e la assorbe

   Il 22 ottobre 2026 investigatori on-chain hanno segnalato su X un deflusso di circa 16 milioni di dollari in USDT e TRX da indirizzi riconducibili a CoinDCX, finito su un unico indirizzo Tron e poi frazionato verso depositi su Binance, OKX e Gate. Lo stesso giorno l'amministratore delegato aveva parlato di «falso allarme» e negato che i wallet fossero stati violati; il comunicato del 22/10 ammetteva solo «perdite operative» senza cifra. Il 25 ottobre CoinDCX ha confermato sul proprio blog (riportato da The Block e crypto.news) una perdita di 15,99 milioni di USDT, assorbita dalla società. Dove sta la falla, secondo l'exchange: la vecchia infrastruttura di wallet dismessa dopo l'incidente di luglio 2025 aveva «vulnerabilità sconosciute»; alcuni utenti hanno continuato a depositare su quegli indirizzi e il servizio automatico che doveva spostare i depositi in sicurezza («sweeping») per un periodo non ha funzionato, così i fondi si sono accumulati lì e sono stati sottratti. CoinDCX dichiara di aver accreditato i depositi agli utenti e che saldi dei clienti e sistemi di trading attivi non sono stati toccati. Tether ha congelato circa 2,2 milioni di USDT collegati il 22/10. Restano punti aperti: la società non ha detto da quando lo sweeping era fermo né come gli attaccanti abbiano preso il controllo degli indirizzi, e l'investigatore ZachXBT sostiene che almeno uno degli indirizzi era ancora usato da un fornitore di liquidità mesi dopo luglio 2025. È il secondo incidente in poco più di un anno, dopo i circa 44 milioni di luglio 2025.

   ↗ fonte
2. 19 lug 2025 Hack / furto di fondi Grave 44 Mln USD ● aperto

   Conto operativo di liquidità svuotato per circa 44 milioni di dollari: i wallet dei clienti non sono stati toccati e la perdita è stata assorbita dalla società con le proprie riserve

   Il 19 luglio 2025 CoinDCX, il maggiore exchange indiano, ha subito la compromissione di un conto interno operativo. La notizia non è uscita per prima dalla società: a segnalarla è stato l'investigatore on-chain ZachXBT, e la conferma ufficiale è arrivata il giorno dopo. Il fatto, come lo descrive l'amministratore delegato Sumit Gupta: il conto colpito era «usato solo per la fornitura di liquidità su un exchange partner» e «l'incidente è stato rapidamente circoscritto isolando il conto operativo interessato». La parte che conta per chi tiene lì dei soldi è la successiva: «poiché i nostri conti operativi sono separati dai wallet dei clienti, l'esposizione è limitata a questo specifico conto ed è integralmente assorbita da noi, dalle nostre riserve di tesoreria». Gli asset dei clienti sono rimasti nei cold wallet e non sono stati toccati: nessun utente ha perso denaro, e la società ha poi ribadito pubblicamente, ad agosto 2025, che la perdita restava a suo carico. La cifra. Le fonti oscillano fra 43,4 e 44,2 milioni di dollari a seconda del momento di valutazione degli asset; qui è registrata come «circa 44 milioni». Il denaro è stato incanalato attraverso ponti fra Solana ed Ethereum, con il wallet dell'attaccante finanziato in partenza tramite Tornado Cash: la sequenza classica di chi ha già pianificato il riciclaggio. Come sono entrati — ed è la parte istruttiva. Secondo la polizia di Bengaluru, gli attaccanti non hanno forzato l'infrastruttura: hanno raggiunto un dipendente con una falsa offerta di lavoro freelance, convincendolo a installare un file malevolo sul portatile aziendale, e hanno poi usato quelle credenziali per entrare nei sistemi interni e ordinare i trasferimenti. Un dipendente è stato fermato a fine luglio 2025 nell'ambito dell'indagine: ha negato di aver partecipato consapevolmente. Non lo nominiamo, perché è un'accusa e non una condanna, e perché il dato utile al lettore non è il nome di una persona ma il meccanismo: il punto d'ingresso più efficace contro un exchange, nel 2025 come oggi, è una persona a cui si scrive fingendo di offrirle un lavoro. Dove sono i fondi. Non sono stati recuperati. Secondo le ricostruzioni pubbliche il bottino è stato consolidato in circa 4.443 ETH e 155.830 SOL e da allora è rimasto fermo. CoinDCX ha aperto un programma di ricompense — fino al 25% di quanto venisse recuperato, per un massimo intorno agli 11 milioni di dollari, aperto a ricercatori e analisti esterni — e ha riferito il caso al CERT-In, la struttura indiana di risposta agli incidenti informatici. Di quell'indagine non risulta pubblicata una conclusione ufficiale. Come va letto lo stato di questa voce: per gli utenti il capitolo è chiuso e non ha lasciato conseguenze, perché la perdita l'ha pagata la società. Per il fatto in sé non lo è: i fondi non sono tornati, la taglia è ancora aperta e non c'è l'accertamento di un'autorità. Per questo la voce resta aperta ma non segnalata come «in corso»: non sta succedendo nulla in questo momento.

   ↗ fonte

verificato il 26 ott 2026

Media ponderata sul numero di recensioni di 3 piattaforme pubbliche (476.144 recensioni totali). Non è il nostro voto: è la media di quelle piattaforme, pesata sul volume.