CoinDCX confirma perda de US$ 16 mi em carteiras aposentadas após negar alerta
A corretora indiana de criptomoedas CoinDCX admitiu perda de 15,99 milhões de USDT em infraestrutura antiga de carteiras, dias depois de o CEO ter chamado relatos de invasão de falso alarme.
Ilustração: Roger Brown (Pexels)
A corretora indiana de criptomoedas CoinDCX confirmou, em atualização publicada no blog no domingo (25), a perda de 15,99 milhões de USDT — cerca de US$ 16 milhões — em um ataque a carteiras de depósito que a empresa dizia ter deixado de usar após um incidente em julho de 2025. A admissão chega poucos dias depois de o cofundador e CEO Sumit Gupta ter respondido, na quarta-feira, a alertas públicos dizendo que os relatos soavam como um “falso alarme”.
Segundo o The Block, a exchange afirmou ter notado atividade incomum na terça-feira em infraestrutura antiga e descontinuada de carteiras, com “vulnerabilidades desconhecidas”. O serviço automatizado de varredura (sweeping), que move fundos entre carteiras da plataforma, teria falhado por um período; depósitos de usuários se acumularam em um endereço que a corretora já não utilizava. A companhia disse ter absorvido a perda e reiterou que os fundos dos clientes permaneceriam seguros em carteiras frias segregadas, com custódia em múltiplas camadas e controles offline.
O que aconteceu
Os fluxos suspeitos foram sinalizados pela primeira vez por volta de 1h30 da madrugada (horário do Leste dos EUA) na quarta-feira por Darcy, cofundador da FlashRescue, serviço de resgate de ativos. Ele apontou que cerca de 15,99 milhões de USDT e 5.783,81 TRX teriam saído da carteira quente da CoinDCX e de alguns endereços de depósito às 11h35 (ET) da terça-feira, todos para um único endereço na rede Tron. A maior transferência isolada teria sido de 15.819.002 USDT; em seguida, os valores teriam sido divididos e encaminhados a endereços de depósito em Binance, OKX e Gate, conforme o relato de Darcy citado pelo The Block.
Gupta respondeu ao post menos de três horas depois, afirmando que a leitura estava incorreta e que as carteiras da CoinDCX “não foram invadidas”. Disse que os endereços em questão teriam sido comprometidos em julho de 2025 e que os invasores pareciam reutilizar endereços antigos — daí a ideia de “falso alarme”. A conta oficial da exchange ecoou a linha minutos depois, chamando as alegações de “enganosas” e dizendo que aqueles endereços não eram usados pela CoinDCX desde o incidente de 2025.
O analista on-chain ZachXBT contestou as negações. Segundo o The Block, ele afirmou que um endereço de depósito “esteve em uso por um provedor de liquidez por 10 meses após o incidente de julho de 2025” e que esse endereço teria enviado depósitos de usuários para a carteira quente atual da CoinDCX ainda em abril e maio de 2026 — o que, na leitura dele, deixaria cerca de US$ 15,8 milhões em depósitos de usuários sem contabilização adequada pela equipe. Gupta respondeu que a equipe investigava e que “nenhum fundo de usuário ficará em prejuízo”. Por volta das 7h47 (ET), a CoinDCX publicou que a falha no processo de varredura havia gerado “algumas perdas operacionais”, absorvidas pela empresa — sem citar o valor naquele momento. ZachXBT passou a aconselhar clientes a sacar se valorizassem os ativos e classificou as negações iniciais dos cofundadores como mentira ou negligência grave, embora tenha dito ter ajudado a congelar criptomoedas roubadas na casa das seis cifras em benefício da exchange.
A perda de cerca de US$ 16 milhões soma-se ao ataque de julho de 2025, estimado em cerca de US$ 44 milhões. À época, Gupta atribuiu o episódio a uma invasão de servidor; a polícia de Bengaluru afirmou depois que invasores se passando por recrutadores teriam induzido um engenheiro de software da CoinDCX a instalar malware em um laptop da empresa. Em outubro de 2025, a Coinbase investiu na CoinDCX em um acordo que, segundo Gupta, avaliava a exchange em US$ 2,45 bilhões. Questionada sobre as declarações anteriores de Gupta e as alegações de ZachXBT, a assessoria de relações públicas da CoinDCX remeteu o The Block ao post do blog e não respondeu a perguntas específicas de acompanhamento.
O que isso pode mudar
O episódio tende a reforçar a pressão por transparência imediata quando alertas on-chain surgem em redes sociais — sobretudo quando a primeira resposta pública da liderança relativiza o risco e, dias depois, a própria empresa confirma perda material. Para clientes e parceiros, o contraste entre a narrativa de “falso alarme” e a confirmação de 15,99 milhões de USDT absorvidos pela companhia pode alimentar dúvidas sobre a capacidade de monitorar infraestrutura legada, mesmo quando a exchange insiste que operações de compra, venda, depósito e saque seguiram normais e que as carteiras frias permaneceram intactas.
No médio prazo, o caso pode acelerar a exigência de auditorias mais frequentes de endereços “aposentados”, de processos de sweeping e de comunicação de crise em corretoras que já acumulam incidentes — no caso da CoinDCX, o ataque de 2025 e agora a falha em carteiras descontinuadas. A recomendação pública de saque feita por um analista de peso como ZachXBT, se repercutir entre usuários, também pode testar a confiança no mercado indiano de criptomoedas e o discurso de solidez associado a investimentos de grandes nomes, como a avaliação citada após o aporte da Coinbase. Nada disso, porém, está decidido: o desfecho dependerá de como a CoinDCX detalhar a falha operacional, de eventuais recuperações de fundos e da reação dos reguladores e da base de clientes nas próximas semanas.
Fontes: The Block
Leia mais em: www.mundodosnegocio.com.br