ZachXBT, CoinDCX'te Açıklanmayan 15,8 Milyon Dolarlık Mevduata Dikkat Çekti

Güncelleme 18:53 UTC: Şirket yaklaşık 16 milyon dolarlık tutarı artık “faaliyet kaybı” olarak kayıtlarına geçirirken, mevduatların kullanıcı hesaplarına yansıtıldığını savunuyor; ancak fonların bu kadar uzun süre takipsiz kalmasını açıklayamıyor.

ZachXBT, CoinDCX'te Açıklanmayan 15,8 Milyon Dolarlık Kullanıcı Mevduatını Ortaya Çıkardı

Blockchain araştırmacısı ZachXBT, Perşembe günü X'te yayımladığı bir gönderiyle Hindistan merkezli kripto borsası CoinDCX'i yaklaşık 15,8 milyon dolarlık kullanıcı mevduatını hesapsız bırakmakla suçladı. İddianın odağında, TQKJQ ile başlayan bir TRON yatırma adresi var; araştırmacıya göre borsanın likidite sağlayıcısı bu adresi, Temmuz 2025'teki güvenlik ihlalinden sonra yaklaşık 10 ay boyunca çalışır durumda tuttu. İşlem geçmişine göre adres, kullanıcı mevduatını CoinDCX'in güncel kamuya açık sıcak cüzdanlarından biri olarak etiketlenmiş bir cüzdana düzenli olarak süpürmüş; aynı zamanda işlem ücretlerini karşılamak için de fon almış. Paylaştığı Arkham Intelligence verisi, 21 Ekim 2026 tarihli yaklaşık 15.819.002 USDT'lik bir transferi, buna ek olarak Nisan ve Mayıs 2026'da CoinDCX sıcak cüzdanları olarak etiketlenen adreslere yapılan daha küçük transferleri gösteriyor. Araştırmacının aktardığı zincir üstü kayıtlar, güncel sıcak cüzdanların ihlal edilmiş adrese Nisan 2026'ya kadar gas gönderdiğini de ortaya koyuyor. Talebi dar: borsa, itiraz konusu mevduatların nasıl muhasebeleştirildiğini açıklamalı, çünkü bu fonlar şeffaf bir rezerv kanıtında hiçbir zaman görünmedi. İşaretlenen varlıklar TRON ağı üzerindeki USDT; 2025'teki para aklama izinde de aynı varlık ve ağ kombinasyonu öne çıkmıştı.

Borsa bu sırada konumunu kısmen değiştirdi. CoinDCX'in resmi X hesabından yapılan bir sonraki gönderide, uyarılara rağmen kullanıcıların ihlal edilmiş TQKQ'ya yakın adrese yatırmaya devam ettiği kabul edildi; fonların güvence altına alınabilmesi için “düzenli süpürme” yapıldığı, ancak “belli bir dönemde bu süpürme sürecinin başarısız olduğu” ifadesi kullanıldı. Şirket şu an yaklaşık 16 milyon dolarlık tutarı “faaliyet kaybı” olarak kayıtlarına geçiriyor ve mevduatların kullanıcı hesaplarına yansıtıldığını öne sürüyor; ancak bunların bu kadar uzun süre takipsiz kalmasını açıklamış değil. İlk red, diğer araştırmacıların tepkisini çekti: SpecterAnalyst şirketi “yalan söylemekle” suçladı; Darcy, Temmuz 2025 hack'inden önce ve sonra gas dağıtımına, ayrıca Huione ve Xinbi adlı aklama servisleriyle bağlantılı transferlere işaret etti; eski MetaMask güvenlik uzmanı Taylor Monahan ise bu kez kullanılan aklama tekniklerinin geçen yılki hack'ten farklı olduğunu, dolayısıyla farklı aktörlerin söz konusu olabileceğini kaydetti.

@zachxbt · X gönderisi

Perşembe günü X'te yayımlandı.

X'te görüntüle

CoinDCX Yeni Bir Sızmayı Reddediyor

CoinDCX saatler içinde karşı hamle yaptı. Resmi açıklamasında şirket, işaretlenen adreslerin Ocak 2025'te oluşturulduğunu, Temmuz 2025 saldırısı sırasında ele geçirildiğini ve o tarihten bu yana borsa tarafından hiç kullanılmadığını belirtti. Kurucu ortak ve CEO Sumit Gupta, hackerların eski cüzdan adreslerini yeniden kullanıyor olabileceğini yazdı ve olayı olası bir yanlış uyarı olarak nitelendirdi. Analitik platformların eski adresleri hâlâ CoinDCX olarak etiketlediğini ekleyen Gupta, bu etiketlemenin güncel operasyonlara hiçbir şey dokunmasa bile saldırganın yeniden kullanımını yeni bir sızma gibi gösterebildiğini vurguladı. Şirketin açıklamasında ayrıca, operasyonel cüzdanlarından ya da müşteri saklama adreslerinden itiraz konusu eski adreslere fon gönderilmediği, kullanıcı varlıklarının güvende olduğu ve alım satım hizmetlerinin normal şekilde sürdüğü savunuldu. Gupta araştırmacıya ayrıca doğrudan yanıt verdi: ekibin bu konudan haberdar olduğunu, incelemeyi sürdürdüğünü ve kısa sürede güncelleme paylaşacağını, “hiçbir kullanıcı fonunun zarar görmeyeceği” güvencesiyle duyurdu. Ancak şirket henüz 21 Ekim'deki hareketlerin cüzdan cüzdan muhasebesini yayımlamış değil; araştırmacının talep ettiği açıklama tam da bu.

@CoinDCX · X gönderisi

Resmi açıklama.

X'te görüntüle

21 Ekim Transfer İzleri

İhtilaf, 21 Ekim Çarşamba gecesi yaşanan zincir üstü hareketlerle başladı. Varlık geri kazanım platformu FlashRescue'nun kurucu ortağı Darcy, CoinDCX'e ait olduğu etiketlenen adreslerden toplamda yaklaşık 15,99 milyon dolar tutarında USDT ve 5.783,81 TRX transfer edildiğini işaret etti. En büyük tekil hareket yaklaşık 15,82 milyon USDT tutarındaydı. Fonlar önce bir ara adresine ulaştı; bu adres boşaltıldı ve USDT'nin bir bölümü Binance sıcak cüzdanlarına, ayrıca OKX ve Gate'e de ulaştı. Darcy ayrıca, CoinDCX'in en son rezerv kanıtında listelenen iki adresin, kendilerinin de işaretlenen TRON adresine fon gönderdiğini öne sürdü. Arka planda doğrulanmış bir kayıp var: 19 Temmuz 2025 Cumartesi günü borsa, likidite yönetimi için kullanılan bir operasyonel hesap üzerinden yaklaşık 44 milyon dolar çalınmıştı. O dönemde müşteri cüzdanlarına dokunulmamış, kayıp şirket rezervlerinden karşılanmış ve çalınan varlıkları geri kazanmak için 11 milyon dolara varan bir ödül programı açılmıştı. Son 24 saatin borsa takip verisi, CoinDCX'in günlük hacmini yaklaşık 1,15 milyon dolar gösteriyor; en aktif çifti itibari para karşısında USDT olan küçük bir operasyon bu.

Dondurulabilir Fonlar, Cevapsız Sorular

COINOTAG'in kayıtlardan okuması şu: zincir üstü kanıt 2025'teki olayı kesinleştiriyor; 2026 ihtilafı ise açık kalıyor. Temmuz 2025'ten kalan saldırgan işlem geçmişi, ele geçirilmiş bir operasyonel hesabı kök neden olarak işaret ediyor ve ekibin o dönem yayımladığı analiz, 44 milyon dolarlık kaybı şirket rezervlerinden karşıladığını, ödül programının da çözüm aracı olarak devreye konduğunu ortaya koyuyor. Bugün ispatlanmamış olan, müşteri kaybı: etiketli bir adresten yapılan büyük bir transfer, tek başına yeni bir hack kanıtı değil ve 15,8 milyon dolarlık rakam, hırsızlık olarak bağımsız hiçbir kaynak tarafından doğrulanmış değil. Hareket edilen fonların çoğu merkezi platformlarda duran USDT olduğu için, Tether ya da alıcı borsalar bu varlıkları dondurabilir; ancak bunun ön koşulu, CoinDCX'in kaybı resmen teyit etmesi. Şirket cüzdan cüzdan bir muhasebe yayımlayana kadar, bir donanım cüzdanı üzerinden borsa riskine karşı kendi saklamasını değerlendiren kullanıcılar, ellerinde pek az doğrulanmış açıklamayla hareket etmek durumunda kalıyor (18:55 UTC itibarıyla).