CoinDCX räumt Verluste über alte Einzahlungsadressen ein

Erst hieß es Fehlalarm, Stunden später kam das Eingeständnis: Die indische Kryptobörse CoinDCX hat Verluste über Einzahlungsadressen eingeräumt, die seit dem Hack im Juli 2025 als kompromittiert galten. Kunden seien entschädigt, sagt die Börse. Wie viel sie selbst verloren hat, nennt sie nicht; der Ermittler ZachXBT spricht von 15,8 Millionen Dollar.

Auf der Tron-Blockchain ist der Kern des Vorgangs nachvollziehbar: Am Mittwoch um 17:35 Uhr MESZ gingen von der Adresse TQKJQ 15.819.002 USDT an eine fremde Adresse. In der halben Stunde davor hatte dieselbe Empfängeradresse 40 kleinere Beträge von anderen Adressen gesammelt, zusammen rund 172.400 USDT.

Bis Donnerstagmorgen, 5:22 Uhr MESZ, war alles weitergeleitet: knapp 15,99 Millionen USDT in Teilbeträgen an sechs Adressen, die größte Tranche mit 7,1 Millionen; wer die Adressen kontrolliert, zeigt die Kette nicht.

Mitgründer Sumit Gupta sprach zunächst von einem Fehlalarm

Als die Abflüsse am Donnerstagmorgen auf X die Runde machten, widersprach CoinDCX-Mitgründer Sumit Gupta um 10:10 Uhr MESZ. Die markierten Adressen hätten der Börse gehört, seien im Januar 2025 erzeugt und beim Hack im Juli 2025 kompromittiert worden; die Angreifer nutzten sie offenbar erneut. Keine der heutigen Adressen von CoinDCX habe Geld dorthin geschickt, es klinge nach “a false alarm”.

Eine Dreiviertelstunde später hielt ZachXBT dagegen. Die Adresse TQKJQ sei nach dem Vorfall noch zehn Monate in Gebrauch gewesen und habe bis in den April und Mai 2026 Kundeneinzahlungen an die aktuelle öffentliche Hot Wallet der Börse weitergeleitet: “Meaning $15.8M in user deposits was unaccounted for by your team.” Gupta antwortete knapp, man prüfe das, kein Kunde werde Geld verlieren.

Um 13:47 Uhr MESZ folgte die Erklärung der Börse auf X.

Manche Kunden hätten trotz Warnungen weiter an die stillgelegten Adressen eingezahlt, schreibt CoinDCX. Ein Prozess, der solche Einzahlungen regelmäßig einsammeln sollte, sei für einen bestimmten Zeitraum ausgefallen, was erst an diesem Morgen aufgefallen sei. Die daraus entstandenen Verluste trage die Börse; betroffene Kunden seien gutgeschrieben worden.

CoinDCX nennt weder Summe noch Zeitraum

Damit stehen zwei Darstellungen nebeneinander, die sich nur zum Teil decken: CoinDCX bestätigt Verluste, beziffert sie aber nicht und sagt auch nicht, wie lange der Prozess ausfiel. ZachXBTs 15,8 Millionen passen zur größten Einzelüberweisung auf der Kette, sind aber seine Rechnung, keine Angabe der Börse.

Für die Sicherheit der laufenden Kundengelder verweist CoinDCX auf getrennte Cold Wallets und darauf, dass der Handel normal weiterläuft. Schon den Schaden des Hacks vom Juli 2025, damals nach Angaben der Börse rund 44 Millionen Dollar aus einem internen Konto, hatte sie aus eigenen Mitteln getragen. Der neue Fall verlängert die lange Liste der Sicherheitspannen bei Kryptobörsen in einem teuren Herbst: Allein im September zählte PeckShield 766 Millionen Dollar Schaden durch Hacks.

Kunden in Deutschland, Österreich und der Schweiz betrifft der Fall nicht direkt, weil CoinDCX sich an den indischen Markt richtet. Lehrreich ist er trotzdem: Wer Kryptowerte an eine Börse schickt, sollte die Einzahlungsadresse vor jeder Überweisung frisch aus App oder Website holen, statt eine gespeicherte alte zu verwenden.

ZachXBT legte am Donnerstagnachmittag nach und riet Kunden, ihr Guthaben von CoinDCX abzuziehen.