Пояснення хаку CoinDCX на 44 мільйони доларів

Витік, який сколихнув криптосектор Індії

CoinDCX, одна з найвідоміших криптовалютних бірж Індії, підтвердила порушення безпеки, яке призвело до крадіжки понад $ 44 мільйонів в цифрових активах. 

Експлойт був спрямований на робочий гаманець на Солана мережа, що використовується для забезпечення ліквідності, а не гаманці клієнтів. Незважаючи на швидкий та масштабний характер атаки, компанія наполягає на тому, що кошти користувачів залишаються недоторканими та повністю захищеними.

Про інцидент вперше повідомила не компанія, а розслідувач блокчейну. Зак XBT, який відстежував підозрілі рухи коштів та ідентифікував скомпрометований гаманець як такий, що належить CoinDCX. Його розкриття інформації змусило CoinDCX відреагувати протягом кількох хвилин, що стало одним із найгучніших інцидентів із криптобезпекою в Індії цього року.

Як розгортався напад

За даними on-chain security firm CyversАтака була добре спланована та виконана з точністю. Підготовка розпочалася ще 16 липня 2025 року, коли 1 ETH було відправлено з Tornado Cash — криптовалютного міксера, який часто використовується для приховування походження коштів. Цей ETH було внесено на FixedFloat, виведено на Polygon, а пізніше переведено на Solana, де його конвертували в SOL для покриття комісій за транзакції.

За оцінкою Меїр Долев, засновник Cyvers, 18 липня о 21:07 UTC зловмисник ініціював тестову транзакцію лише з 1 USDT. Потім почалася справжня атака. Протягом п'яти хвилин зловмисник вивів приблизно 44.2 мільйона доларів у USDT та USDC з одного з робочих гаманців CoinDCX на Solana.

Послідовність вилучень така:

• 22:09 UTC: 2 мільйони доларів
• 22:10: 7 мільйонів доларів
• 22:11: 10 мільйонів доларів
• 22:12: 10 мільйонів доларів
• 22:13: Дві окремі транзакції по 5 мільйонів доларів кожна
• 22:14: Остаточне виведення 5 мільйонів доларів

Через кілька хвилин було здійснено менші перекази, зокрема 102 000 USDC та 79 000 USDT. Частина викрадених коштів — 15.8 мільйона доларів — була переведена з Solana до Ethereum, можливо, для диверсифікації маршрутів та ускладнення повернення коштів.

CoinDCX відповідає

Витік інформації привернув увагу громадськості, коли ZachXBT поділився своїми висновками в Telegram, що призвело до швидкого підтвердження від генерального директора CoinDCX Суміта Гупти. Він назвав інцидент «складним порушенням безпеки сервера», яке скомпрометувало один операційний обліковий запис, що використовується на партнерській біржі.

Важливо, що Гупта заявив, що:

• Всі активи користувачів зберігаються в холодних гаманцях
• Кошти клієнтів не постраждали
• Платформа продовжує працювати у звичайному режимі для торгівлі та виведення INR

«Інцидент було швидко локалізовано шляхом ізоляції ураженого операційного рахунку», – наголосив Гупта. «Оскільки наші операційні рахунки відокремлені від гаманців клієнтів, ризик обмежується лише цим конкретним рахунком і повністю поглинається нами – з наших власних казначейських резервів».

Відкрийте для себе перспективні проекти...

Перспективні проекти...

(Реклама)

Стаття продовжується...

Заходи безпеки та плани відновлення тривають

CoinDCX заявляє, що залучила фірми з кібербезпеки для розслідування порушення та відстеження руху викрадених активів. Компанія співпрацює з неназваною партнерською біржею, щоб заморозити кошти, де це можливо. Також розробляється програма винагороди за виявлені вразливості, спрямована на виявлення вразливостей до того, як зловмисники зможуть їх використати.

Незважаючи на порушення, CoinDCX стверджує, що її системи надійні. Компанія давно стверджує, що використовує багаторівневу архітектуру безпеки. Кошти розподіляються між різними гаманцями та зберігачами. 

Щомісячні звіти про підтвердження резервування були наріжним каменем політики прозорості біржі. Також існує компенсаційний фонд, призначений для покриття витрат користувачів у разі надзвичайних ситуацій, хоча в цьому випадку кошти клієнтів не постраждали.

Заснована у 2018 році, CoinDCX швидко зросла та стала першим криптовалютним єдинорогом Індії у 2021 році, залучивши 90 мільйонів доларів при оцінці в 1.1 мільярда доларів. У 2022 році ще один раунд інвестицій у розмірі 135 мільйонів доларів майже подвоїв її оцінку до 2.15 мільярда доларів.

У липні 2024 року CoinDCX придбала дубайську компанію BitOasis, що свідчило про намір компанії вийти на світовий ринок. Однак нещодавнє порушення безпеки затьмарило ці амбіції. 

Застережливий момент для індійської криптовалюти

Злом стався майже рівно через рік після крах WazirX, ще одна провідна індійська біржа, яка втратила 230 мільйонів доларів через порушення, яке приписують північнокорейській групі Lazarus. Ця атака призвела до закриття платформи та провалу плану реструктуризації, в результаті чого на сьогоднішній день вдалося повернути лише 3 мільйони доларів.

Хоча неясно, чи пов'язаний злом CoinDCX з тими ж самими діячами, подібності помітні: витік операційного облікового запису, затримка з розкриттям інформації та залежність від Tornado Cash. Поки що жодної національної державної групи не було звинувачено.

Проблема централізації

Хоча CoinDCX наполягає на своїй надійній архітектурі, інцидент виявляє значну вразливість у тому, як централізовані біржі керують операційними гаманцями. Скомпрометований обліковий запис використовувався виключно для отримання ліквідності на партнерській платформі, проте на ньому зберігалися десятки мільйонів доларів — достатньо, щоб залучити досвідчених зловмисників.

До критики додається обмежувальна політика CoinDCX щодо виведення криптовалют. Користувачі не можуть виводити кошти за замовчуванням. Натомість виведення коштів дозволено лише після внутрішнього розгляду на основі оцінки ризиків. Цей централізований контроль викликав дискусії в індійській криптоспільноті щодо автономії та прозорості користувачів.

У травневому дописі AMA на Reddit Гупта захистив цю політику, заявивши, що вона запобігає незаконному переміщенню коштів. Він також применшив можливість атаки на CoinDCX у стилі WazirX, посилаючись на рівні безпеки, внутрішні аудити та стандарти відповідності. Цей останній інцидент змусив ці твердження піддатися пильній увазі.