Dans la soirée du 21 octobre, des portefeuilles que la société d'analyse Arkham et d'autres outils de traçage associent à CoinDCX ont envoyé environ 16 millions de dollars — 15,82 millions d'USDT et près de 5 784 TRX — vers une seule adresse Tron. Pour la plus grande plateforme crypto indienne en volume, le moment est tombé mal : en juillet 2025, CoinDCX avait déjà perdu 44 millions de dollars sur un compte de liquidité interne.
Le PDG Sumit Gupta a réagi presque immédiatement : « Les portefeuilles de CoinDCX ne sont pas piratés. Merci de ne pas propager de rumeurs. Les adresses signalées par Arkham appartenaient à CoinDCX avant le piratage de l'an dernier, c'est-à-dire avant juillet 2025. » Selon l'entreprise, ces adresses ont été créées en janvier 2025, compromises en juillet de la même année, et la plateforme ne les a plus jamais utilisées depuis — l'argent qui a bougé ne serait donc que des fonds dormants d'un portefeuille abandonné, pas la preuve d'un nouveau piratage. « Nous garantissons qu'aucun utilisateur ne perdra le moindre centime », a ajouté Gupta.
L'enquêteur on-chain ZachXBT lit la même chaîne de transactions différemment. Selon lui, une de ces adresses soi-disant « mortes » a continué à servir d'adresse de dépôt pour un fournisseur de liquidité tiers pendant dix mois après l'incident de juillet, avec une activité enregistrée jusqu'en avril ou mai 2026, les fonds et frais collectés continuant d'alimenter le hot wallet public actuel de CoinDCX. Si cela se confirme, la version du « portefeuille abandonné » se fissure : cela signifierait que de vrais dépôts clients ont transité près d'un an par une adresse potentiellement compromise.
Ni CoinDCX ni ZachXBT n'ont encore publié l'intégralité des preuves, et l'enquête se poursuit. Mais cette affaire touche un point sensible du marché crypto indien : WazirX avait été piraté pour 234 millions de dollars en 2024, et voilà que la deuxième plateforme du pays doit justifier, pour la deuxième année de suite, des mouvements de fonds issus de « vieux » portefeuilles. Pour l'utilisateur ordinaire, la leçon est simple : une adresse figurant sur une liste de preuve de réserves ne prouve rien si l'entreprise ne peut pas expliquer clairement quand, et pourquoi, elle en a perdu le contrôle.
