Contexte de la perte
CoinDCX a annoncé la perte de 15,99 million USDT provenant de portefeuilles de dépôt qui avaient été mis hors service après le piratage de juillet 2025. Ce piratage avait déjà coûté environ 44 M $ à la plateforme. Les fonds perdus proviennent d’un service automatisé de sweeping qui, pendant une période indéterminée, n’a pas transféré les dépôts vers les adresses de stockage sécurisées.
Mécanisme du portefeuille de dépôt et du service de sweeping
Les portefeuilles de dépôt de CoinDCX fonctionnaient comme des adresses temporaires où les utilisateurs envoyaient leurs USDT avant que le système ne les regroupe vers des cold wallets. Un « sweeping service » devait régulièrement vider ces adresses vers les coffres froids. Après le hack de 2025, l’équipe a désactivé plusieurs de ces adresses, mais le service de sweeping est resté actif sur une adresse « dépréciée ». ZachXBT a montré que cette adresse a continué à recevoir des dépôts pendant 10 mois, avec des transferts enregistrés jusqu’en avril et mai 2026.
Analyse des vulnérabilités et des impacts
Le maintien d’un service de sweeping sur une adresse non maintenue crée deux vecteurs de risque. Premièrement, l’absence de mise à jour du code ou de surveillance augmente la probabilité d’exploits inconnus, d’où la mention d’« vulnérabilités inconnues ». Deuxièmement, la concentration de dépôts sur une adresse unique augmente la surface d’attaque, car un seul point de défaillance peut entraîner la perte de plusieurs millions de dollars. Le fait que les fonds aient été « swept » (transférés) jusqu’en 2026 indique une défaillance de la gouvernance opérationnelle : aucun contrôle de conformité n’a détecté que les dépôts continuaient d’arriver sur une adresse désactivée.
Réactions et mesures correctives
Le PDG Sumit Gupta a qualifié l’incident de « fausse alerte » et a accusé les affirmations de « trompeuses ». CoinDCX assure que les fonds restants sont stockés dans des cold wallets et que les services de trading et de retrait fonctionnent normalement. Cependant, l’absence de transparence sur les processus de désactivation et de monitoring du sweeping service laisse des questions ouvertes. Les fondateurs ont été arrêtés en mars 2026 pour une plainte de fraude, ce qui ajoute un risque juridique supplémentaire pour les utilisateurs. Les experts recommandent aux clients de retirer leurs actifs des adresses de dépôt actives et de privilégier les wallets hors ligne tant que la plateforme ne publie pas de rapport d’audit complet.
