CoinDCX 認賠 1600 萬鎂！CEO 三天前還說駭案是誤報

印度加密交易所 CoinDCX 承認，因自動掃款服務中斷，約 1599 萬 USDT 滯留舊錢包遭駭客撿走，公司全額吸收損失。這是在 CEO Sumit Gupta 三天前還在 X 上否認駭案、稱其「只是誤報」之後發生的事。
（前情提要：印度比特幣持有量全球第二：散戶累積100萬枚BTC，政策有望超車美國？）
（背景補充： Qubic 鏈重開！1,404 個錢包被盜 140 萬鎂，官方開賠到 2027 年）

本文目錄

Toggle

印度加密貨幣交易所 CoinDCX 週日早上在官方部落格發布更新，承認公司損失 1599 萬 USDT（約 1600 萬美元）。原因是自動掃款服務在特定時段失效，導致用戶存款累積在已棄用、存在未知漏洞的舊錢包地址上，被駭客一併搬走。CoinDCX 稱這筆損失由公司全額吸收，使用者資金不受影響。

事件的時間線在 X 平台上展開。資產救援服務商 FlashRescue 共同創辦人 Darcy 週三凌晨 1:30（美東時間）率先發帖，指出約 1599 萬 USDT 和 5783.81 枚 TRX 在週二 11:35（美東時間）從 CoinDCX 熱錢包及多個存款地址流出，全部匯入同一個 Tron 地址，最大單筆轉帳為 1581.9 萬 USDT，隨後資金拆分轉往 Binance、OKX、Gate 的存款地址。Darcy 同時點出，這些地址早在 2025 年 7 月 CoinDCX 遭駭時已被入侵。

CEO 否認三天，鏈上證據翻盤

CoinDCX 共同創辦人兼執行長 Sumit Gupta 在三小時內回覆 Darcy ，稱「這不正確，CoinDCX 錢包未被入侵」，並說「駭客似乎是在重利用 2025 年 7 月被入侵的舊錢包地址，這聽起來像是一個誤報」。CoinDCX 官方帳號四分鐘後跟進，稱這些說法「具有誤導性」，相關地址自 2025 年 7 月事件後已未被使用。

鏈上分析師 ZachXBT 隨後反駁，指出其中一個存款地址在 2025 年 7 月事件後仍被某流動性供應商使用了 10 個月，且該地址在 2026 年 4 月和 5 月都還將使用者存款掃到 CoinDCX 現行熱錢包。ZachXBT 寫道，這意味著「1580 萬美元的使用者存款未被貴團隊核對」。

Gupta 在凌晨 5:59（美東時間）回覆 ZachXBT ，稱團隊正在「進一步調查」，並保證「使用者資金不會損失」。到上午 7:47（美東時間），CoinDCX 官方帳號才正式承認掃款流程「在特定時段」失效，導致「一些營運損失，已由 CoinDCX 吸收」，但當時仍未披露具體金額。ZachXBT 隨後建議使用者「如果你在意你的資產，把 CoinDCX 上的資金全部提領」，並寫道，該交易所共同創辦人「公開和私下都否認資產被竊，這代表他們要麼直白地說謊，要不就是疏忽到不稱職」，同時補充自己仍協助凍結了六位數的被盜加密資產。

2025 年 7 月 4400 萬鎂駭案的回聲

這筆 1600 萬美元損失並非 CoinDCX 第一次資安事故。2025 年 7 月，該交易所曾因一起伺服器入侵事件損失約 4400 萬美元，當時 Gupta 將其歸咎於伺服器洩漏。班加羅爾警方後續調查指出，駭客假扮招聘人員，說服一名 CoinDCX 軟體工程師在公司筆電上安裝惡意軟體，藉此取得交易所內網存取許可權。

CoinDCX 的資安問題並非僅限鏈上攻擊。今年 3 月，印度警方曾以詐欺指控逮捕 Gupta 與共同創辦人 Neeraj Khandelwal，CoinDCX 當時解釋稱這起案件源自仿冒其品牌的假網站。另一方面，Coinbase 在 2025 年 10 月入股 CoinDCX，該筆投資據 Gupta 稱將交易所估值推高至 24.5 億美元，是 Coinbase 深化印度與中東市場布局的一部分。

自動掃款失效的代價：從「誤報」到 1600 萬鎂

CoinDCX 在部落格更新中強調，所有使用者資金仍安全儲存在隔離冷錢包中，受多層保管與離線安全機制保護，交易所的常規交易、存款、提領功能在事件期間照常運作。公司公關代表對 The Block 的追問，僅指向部落格更新，未針對 Gupta 的先前說法或 ZachXBT 的指控作出具體回應。

對市場而言，這起事件的意義不在金額本身，而在於它再次驗證了交易所「自動掃款」機制失效的真實代價。掃款服務本意是將熱錢包與存款地址上的資金定期歸集到冷錢包，一旦中斷，使用者存款就會滯留在可能已被入侵的舊地址上。CoinDCX 在 2025 年 7 月駭案後已停用部分舊錢包，但這些地址顯然未從所有存款流程中完全撤離，流動性供應商仍在使用其中一個地址，導致 1599 萬 USDT 在事件發生時仍暴露在風險中。

對 CoinDCX 使用者來說，公司全額吸收損失的承諾是正面訊號，但 CEO 在事件發生三天內從「誤報」到「調查中」再到「確認損失」的說法轉變，對交易所的資訊透明度是明顯扣分。對更廣泛的加密交易所生態而言，這起事件與近期 Qubic 鏈因弱種子漏洞被竊 140 萬美元、WAX 跨鏈橋遭攻擊等案例一樣，都指向同一個問題：交易所與鏈上基礎設施的資金排程機制，往往在設計上假設「自動化不會失敗」，而一旦失敗，損失就會直接轉嫁到使用者或公司身上。