21 октября неизвестный вывел 15,99 млн USDT и 5 783 TRX из 40 адресов в сети TRON, связанных с индийской криптобиржей CoinDCX. Почти вся сумма — 15,82 млн USDT — находилась на одном депозитном адресе. После публичного разбора CoinDCX признала операционные потери и сообщила, что покрыла их самостоятельно.

Сначала биржа заявила, что адреса были скомпрометированы во время взлома в июле 2025 года и с тех пор не использовались. Ончейн-данные Bitquery показывают обратное: через все 35 небольших депозитных адресов CoinDCX перемещала средства после 1 сентября, девять из них работали за день до инцидента. Кошелёк, который выдавал им TRX для оплаты комиссий, сделал 276 таких пополнений с августа; между последней штатной операцией и первым переводом злоумышленника прошло пять минут.

В обновлённом объяснении CoinDCX заявила, что некоторые пользователи продолжали отправлять активы на старые адреса, а регулярный сбор этих депозитов какое-то время не работал. Биржа утверждает, что все такие пополнения были зачислены клиентам, действующие адреса и разделённые холодные хранилища не пострадали. Срок сбоя, способ получения ключей и связь с атакой 2025 года CoinDCX не раскрыла.

Это компрометация инфраструктуры биржи, а не взлом TRON или USDT. Публичный реестр показывает движение средств, но не объясняет, как посторонний получил контроль над ключами. По состоянию на 22 октября, 12:15 UTC, Bitquery проследила 9,63 млн USDT до адресов пополнения OKX, Binance и Gate; ещё 2,28 млн USDT оставались в семи кошельках злоумышленника и не были заморожены Tether.

Случай показывает, что адрес нельзя считать выведенным из эксплуатации только потому, что приложение перестало рекомендовать его пользователю. Пока механизм биржи продолжает принимать и собирать депозиты с прежними ключами, старый адрес остаётся частью действующей инфраструктуры — вместе со старой компрометацией.