صرافی CoinDCX به دلیل نقص فنی ۱۶ میلیون دلار از کیف پول‌های قدیمی از دست داد
صرافی CoinDCX به دلیل نقص در سرویس خودکار جمع‌آوری وجوه، ۱۵.۹۹ میلیون دلار USDT را از کیف پول‌های منسوخ شده از دست داد. این صرافی اعلام کرده که زیان را پوشش داده و موجودی حساب مشتریان و سیستم‌های معاملاتی آن تحت تأثیر قرار نگرفته‌اند. تحلیل آنچین نشان می‌دهد بخشی از وجوه به صرافی‌های دیگر منتقل شده و تتر حدود ۲.۲۱ میلیون دلار را مسدود کرده است.
کیف پول‌ها قرار بود به گذشته صرافی CoinDCX تعلق داشته باشند. پس از یک رخنه امنیتی در ژوئیه ۲۰۲۵، این صرافی هندی زیرساخت‌های به خطر افتاده را جایگزین کرد و از مشتریان خواست از آدرس‌های واریز جدید استفاده کنند. با این حال، برخی از مشتریان به ارسال پول به آدرس‌های قدیمی ادامه دادند و شرکت نیز به شارژ کردن حساب‌هایشان ادامه داد، در حالی که یک سرویس جداگانه، کوین‌ها را از آنجا منتقل می‌کرد. در ماه اکتبر، این مرحله دوم با شکست مواجه شد.
یک آدرس ارز دیجیتال با از رده خارج شدن توسط یک صرافی، منقضی نمی‌شود. کاربران می‌توانند آن را ذخیره کرده یا از پیام‌های قدیمی کپی کنند. بلاکچین این تراکنش‌ها را می‌پذیرد، حتی اگر اپلیکیشن فعلی صرافی مقصد دیگری را نمایش دهد. CoinDCX تصمیم گرفت این واریزها را برای مشتریان خود به رسمیت بشناسد و کوین‌های واقعی را به کیف پول‌های جدیدتر منتقل کند. این انتخاب از ضرر کاربران در واریزهای اشتباه جلوگیری می‌کرد، اما مسیری را از طریق زیرساخت قدیمی باز نگه می‌داشت.
توضیحات شرکت در ۲۵ اکتبر نشان می‌دهد که این مسیر دچار مشکل شده است. این توضیحات تمام مراحل انتقال غیرمجاز را مشخص نمی‌کند، اما نتیجه قابل مشاهده، یک شکست آموزنده در نگهداری دارایی است: مشتریان می‌توانستند موجودی شارژ شده را در اپلیکیشن ببینند، در حالی که USDT واریز شده مربوطه در آدرسی باقی مانده بود که قبلاً ناامن تلقی می‌شد.
خرابی در سرویس خودکار
صرافی CoinDCX می‌گوید مشتریان علی‌رغم راهنمایی‌ها برای استفاده از آدرس‌های جدید، به واریز به آدرس‌های بازنشسته شده پس از حادثه ژوئیه ۲۰۲۵ ادامه دادند. با رسیدن یک انتقال، صرافی بلافاصله سبد دارایی مشتری را شارژ می‌کرد. یک سرویس خودکار جداگانه به نام «sweeper» قرار بود ارز دیجیتال را از آدرس قدیمی به یک کیف پول امن منتقل کند. مشتری برای استفاده از موجودی شارژ شده نیازی به منتظر ماندن برای این انتقال دوم نداشت.
این طراحی یک بده‌بستان دارد. اگر CoinDCX از شناسایی انتقال به آدرس قدیمی خودداری می‌کرد، مشتری که از دستورالعمل‌های ذخیره شده استفاده مجدد کرده بود، ممکن بود پول خود را از دست رفته ببیند. شارژ کردن فوری به کاربر موجودی حساب را به سرعت می‌دهد، اما شرکت مسئولیت انتقال یا جایگزینی کوین‌های واقعی را بر عهده می‌گیرد. اگر سرویس انتقال (sweep) شکست بخورد، بدهی‌های صرافی می‌تواند افزایش یابد در حالی که کوین‌ها در کیف پول‌های آسیب‌پذیر باقی مانده‌اند.
CoinDCX می‌گوید سرویس خودکار انتقال آن «برای یک دوره خاص» از کار افتاده و به سپرده‌ها اجازه انباشته شدن داده است. این شرکت مشخص نکرده که این نقص از چه زمانی شروع شده، آیا هشداری فعال شده، چه تعداد مشتری درگیر بوده‌اند یا چرا موجودی بزرگ منتقل نشده قبل از ۲۱ اکتبر باعث مداخله نشده است.
تحلیل تراکنش‌های TRON توسط شرکت Bitquery تعداد ۴۰ کیف پول تخلیه شده را شمارش کرده و ۱۵.۸۲ میلیون USDT از کل ۱۵.۹۹ میلیون دلار را در یک آدرس واریز واحد قرار داده است. تحلیل این شرکت می‌گوید این آدرس بزرگ شامل ۸۸ واریز از یک واریزکننده بوده که هیچ‌کدام از ماه مارس به بعد منتقل نشده بودند. اگر این اسناد صحیح باشد، فاصله زمانی بین آن واریزها و برداشت در ماه اکتبر بسیار طولانی‌تر از تأخیر کوتاهی است که یک مشتری ممکن است از یک سرویس خودکار انتظار داشته باشد.
موجودی مشتری در مقابل موجودی کیف پول
مشتری یک صرافی معمولاً یک ورودی حساب را می‌بیند، نه یک کوین خاص در یک آدرس بلاکچین جداگانه که منحصراً به او اختصاص داده شده است. سیاست اعلام شده CoinDCX برای آدرس‌های قدیمی، حساب کاربر را به محض رسیدن واریز شارژ می‌کرد. بنابراین صرافی مبلغ نشان داده شده را به مشتری بدهکار بود، صرف نظر از اینکه سرویس انتقال جداگانه آن با تأخیر مواجه شده باشد. وقتی دارایی‌ها از کیف پول قدیمی ناپدید شدند، اگر شرکت وجوه جایگزین را تأمین می‌کرد، زیان می‌توانست توسط خود شرکت تحمل شود.
CoinDCX می‌گوید دقیقاً همین کار را کرده است. در گزارش تأیید زیان آمده که شرکت ۱۵.۹۹ میلیون دلار را جذب کرده و تأکید می‌کند که موجودی مشتریان، کیف پول‌های فعال و عملیات تحت تأثیر قرار نگرفته‌اند. این یک تمایز اساسی با صرافی است که زیان‌ها را به سپرده‌گذاران منتقل می‌کند یا برداشت‌ها را متوقف می‌کند.
با این حال، این ادعا که «وجوه امن هستند» باید با داده‌های تطبیق، ذخیره و برداشت پیگیری شود، زیرا یک ناظر خارجی نمی‌تواند تمام بدهی‌های مشتری را صرفاً با مشاهده آدرس‌های درگیر در سرقت بررسی کند.
ردیابی USDT دزد را شناسایی نمی‌کند
شرکت Bitquery حدود ۹.۶۳ میلیون USDT را از طریق کیف پول‌های واسطه به آدرس‌های واریزی که به صرافی‌های OKX، بایننس و Gate مرتبط می‌دانست، ظرف ۱۸ ساعت پس از انتقال اصلی ردیابی کرد. رسیدن پرداخت به یک آدرس مرتبط با صرافی ممکن است به بازرسان محلی برای جستجوی سوابق یا همکاری بدهد، اما اثبات نمی‌کند که صرافی نامبرده سرقت را انجام داده یا هنوز تمام پول را در اختیار دارد.
همین مطالعه می‌گوید تتر (Tether) در ۲۲ اکتبر حدود ۲.۲۱ میلیون USDT را در ۹ کیف پول مسدود کرده است. مسدود کردن ممکن است از حرکت آن توکن‌های خاص جلوگیری کند، اما به معنای بازگرداندن پول به CoinDCX نیست. بازپرداخت می‌تواند نیازمند فرآیند قانونی، هماهنگی با صادرکننده توکن و تأیید مالکیت باشد.
سوابق عمومی، حجم و مسیر تراکنش‌ها را بسیار راحت‌تر از روش نفوذ آشکار می‌کند. CoinDCX به آسیب‌پذیری‌های ناشناخته در زیرساخت‌های منسوخ شده خود اشاره کرده، اما نگفته است که آیا زیان ماه اکتبر ناشی از کلیدهای لو رفته در سال ۲۰۲۵، یک نقص دسترسی بعدی یا مسیر دیگری بوده است. Bitquery صراحتاً گفت که تحلیلش نمی‌تواند نشان دهد فردی که وجوه را منتقل کرده چگونه کلیدها را به دست آورده است.
