CoinDCX confirmó el 25 de octubre de 2026 la pérdida de 15.99 millones de USDT desde direcciones antiguas de depósito. La plataforma india de intercambio de criptomonedas atribuyó el incidente a un fallo en el traslado automático de fondos y afirmó que asumió la pérdida sin reducir los saldos de sus clientes.
Los movimientos ocurrieron el 21 de octubre en la red Tron. USDT es la stablecoin emitida por Tether y vinculada al dólar estadounidense.
Acreditar un depósito y trasladarlo son pasos distintos
La explicación de CoinDCX distingue dos procesos. Cuando llegaban fondos a una dirección retirada, la empresa acreditaba el saldo al usuario. Un servicio separado debía trasladar después las criptomonedas a una cartera segura mediante un barrido automático.
CoinDCX ya había explicado a CoinDesk que algunos clientes seguían depositando en esas direcciones pese a los avisos para que usaran otras nuevas. El fallo del barrido dejó fondos acumulados en la infraestructura retirada tras el ataque de julio de 2025.
Ese mecanismo explica por qué reconocer una pérdida y mantener los saldos de los clientes son afirmaciones compatibles: el saldo acreditado y las criptomonedas que lo respaldan se gestionan en pasos separados. La cobertura depende de que la empresa aporte los activos que faltan.
Bitquery encontró actividad en las direcciones retiradas
La firma de análisis Bitquery identificó 40 direcciones afectadas. Su investigación, con datos revisados el 23 de octubre, sitúa 15.82 millones de USDT en una sola dirección: eran 88 depósitos recibidos entre el 29 de enero y el 30 de marzo de 2026 que no se habían trasladado.
También documentó movimientos rutinarios de depósitos el mismo día de la sustracción. Ese rastreo cuestiona la descripción inicial de unas direcciones que habrían dejado de utilizarse tras la brecha de 2025.
Según Bitquery, unos 9.63 millones de USDT llegaron a direcciones de depósito atribuidas a Binance, OKX y Gate. La firma registró además la congelación por Tether de unos 2.21 millones de USDT en nueve direcciones el 22 de octubre. Es una inmovilización de fondos, no una devolución acreditada a CoinDCX.
Los registros públicos muestran las transferencias, pero no revelan los saldos internos de los clientes ni cómo se obtuvieron las claves.
La explicación ya había empezado a cambiar el 23 de octubre
El CEO Sumit Gupta había rechazado la idea de una nueva brecha y planteado que los atacantes podían estar reutilizando direcciones antiguas, según recogió CoinDesk. Pero en su nota del 23 de octubre, ese medio ya publicaba la explicación de un portavoz sobre el fallo del barrido y la acreditación de los usuarios afectados.
El comunicado del 25 cuantificó la pérdida, pero dejó sin explicar cuánto duró el fallo y cómo se accedió a las carteras. CoinDCX anunció que reforzará los controles sobre sus sistemas residuales.
