10月21日晚，分析平台Arkham等追踪工具标记为CoinDCX的钱包向一个波场（TRON）地址转出约1600万美元——具体为1582万USDT和近5784枚TRX。对于印度交易量最大的加密交易所来说，这个时间点格外敏感：CoinDCX曾在2025年7月从内部流动性账户中损失4400万美元。
CEO Sumit Gupta几乎立刻回应："CoinDCX的钱包没有被黑，请不要散布谣言。Arkham标记的地址是去年黑客事件（即2025年7月）之前CoinDCX使用过的旧地址。"公司方面表示，这些地址于2025年1月创建，同年7月被攻破，此后交易所再未使用——换句话说，这次转出的资金只是沉睡钱包里的旧余额，并非新的入侵证据。Gupta补充道："我们保证用户资金不会有任何损失。"
链上调查员ZachXBT给出了不同的解读。他指出，其中一个所谓"废弃"的地址，在2025年7月事件之后仍作为某第三方流动性提供商的收款地址运行了整整十个月，活动记录持续到2026年4月至5月，期间收到的资金和手续费不断转入CoinDCX当前使用的公开热钱包。如果这一说法成立，交易所"废弃钱包"的解释就站不住脚了——这意味着近一年里，真实的用户存款一直经过一个可能已被攻破的地址。
目前双方都未公开完整证据链，调查仍在进行。但这场争议触及了印度加密市场的痛点：2024年WazirX曾遭遇2.34亿美元的黑客攻击，如今这家排名第二的交易所又连续第二年要为"旧钱包"的资金流动做出解释。对普通用户而言，结论很直接——储备证明名单上的一个地址本身什么也证明不了，除非公司能说清楚自己究竟何时、为何失去了对它的控制。
