CoinDCX 一只旧钱包持续收到存款，随后 1600 万美元不翼而飞
这些钱包原本应属于 CoinDCX 的过去。2025 年 7 月发生安全漏洞后，这家印度交易所更换了被攻破的基础设施，并通知客户使用新的充值地址。不过，一些客户仍继续向旧地址转账，而公司也继续为他们入账，随后由另一项服务把这些代币转走。到了 10 月，这第二步出了问题。
- CoinDCX 表示，在其自动归集服务于一段未披露期间停止工作后，弃用钱包中累计的存款导致 1599 万美元 USDT 丢失。
- 该交易所称，资金到账时已为客户入账，并由公司自行承担损失，因此客户显示余额、活跃钱包和交易系统未受影响。
- Bitquery 追踪到 40 个受影响的 TRON 地址，其中一个地址持有约 1582 万美元 USDT，来自 88 笔尚未继续转出的存款。
- 据 Bitquery 的定期追踪，约 963 万美元 USDT 流向了与其他交易所相关的地址，Tether 还冻结了约 221 万美元 USDT。
- CoinDCX 尚未公开说明归集服务失效了多久、资产如何被转走，或被冻结资金中是否已有部分追回。
加密货币地址不会因为交易所弃用它就失效。有人可以把它保存在提现表单里、从旧消息中复制出来，或者连续数月自动向它转账。即便交易所当前应用显示的是另一个目的地，区块链仍会接受这笔交易。CoinDCX 选择承认这些存款，并把实际代币归集到新的托管地址。这个做法既保护了因误用旧地址而可能损失资金的用户，也为旧基础设施留下了一条处理路径。
公司 10 月 25 日的说明称，这条路径后来失灵了。该说明并不能还原未经授权转移的每一步，外部读者也看不到交易所内部账本。可见的结果是一种颇具说明性的托管故障：客户在应用里可能已经显示入账，而对应的 USDT 仍留在一个已被视为不安全的地址中。如何发现、如何补足、如何关闭这一缺口，重要性不只在于头条中的损失数字。
被弃用的地址仍有用途
CoinDCX 表示，尽管公司已在 2025 年 7 月事件后提示客户改用新地址，但客户仍持续向这些已退役地址充值。每当有转账到达，交易所就会立即为客户投资组合入账。另一套自动归集程序本应把旧地址中的加密货币转移到安全钱包。客户无需等到第二次转账完成，就能使用已入账的余额。
这种设计存在权衡。如果 CoinDCX 拒绝承认旧地址转账，那么继续使用旧保存信息的客户可能会以为自己丢了钱。先入账可以让客户更快看到账户余额，但公司必须负责把实际代币转移或替换出去。如果归集失败，交易所账面上的负债就可能上升，而代币仍留在脆弱的钱包里。
因此，“已弃用”可能有两层含义。它可能不再向新用户展示，也不再用于常规操作；但它仍可以接收链上存款、被交易所监控，并用于恢复流程。10 月 22 日最初的争议就围绕这一点展开。CoinDCX 高管称这些地址是旧地址，而调查者则指出这些地址与交易所运营钱包之间仍有持续流动。公司后来的解释承认，确实有一个流程继续处理这些地址上的存款。
把经过退役地址的每一笔转账都视为正常活跃使用，或者把“已退役”理解为资金不可能再进入，都是不准确的。CoinDCX 现在描述的安排并非如此。那些地址并不是应用希望用户选择的目的地，但它们仍在被监控，客户的存款会被入账，交易所也维持着一个旨在把资产继续转出的服务。如果公司要承担客户的损失风险，这项服务就必须稳定运行。
资金在归集失败期间不断累积
CoinDCX 表示，其自动归集服务在“某一段时间”内失效，导致存款不断累积。公司没有说明故障从何时开始、是否触发警报、涉及多少客户，也没有解释为何在 10 月 21 日之前没有因大额未转移余额而介入。这些缺失的信息使人难以判断这一弱点持续了数小时、数周还是更久。
Bitquery 对 TRON 交易的研究统计到 40 个被清空的钱包，并称 1599 万美元总额中的 1582 万美元集中在一个存款地址中。其分析显示，这个大地址接收了同一存款人的 88 笔存款，自 3 月以来一直未被继续转出。如果这一归因正确，那么这些存款与 10 月被移走之间的间隔，远长于客户对自动归集的短暂等待预期。区块链可以显示转账和余额，但无法单凭自身说明每笔存款是否已为客户入账，或内部监控警报是如何处理的。
Bitquery 还研究了在 TRON 上转移 USDT 所需的小额 TRX 付款。它发现受影响的存款地址先被补充手续费，随后出现常规转账，包括 10 月 21 日的活动。交易所若想让某个地址发送 USDT，就必须先为该地址注入该网络的原生代币。反复出现的这一模式，有助于解释为何调查者质疑这些钱包只是被简单遗弃了。但这并不能识别是谁获得了清空这些钱包的手段，也不能证明每笔存款的原始来源。
CoinDCX 表示，公司在 10 月 21 日注意到系统出现异常活动，并在次日看到链上异常转移，社区报告也促使公司展开更深入调查。公司称，立即采取的控制措施避免了活跃钱包和交易基础设施受到影响。其 10 月 25 日的披露随后确认了 1599 万美元 USDT 的损失。这些是公司对发现和控制过程的描述；公开链上数据提供了交易记录，但并不包含公司的内部事件日志。
客户余额与钱包余额并不相同
交易所客户通常看到的是账户记账，而不是某个专门分配给自己的链上钱包里实际躺着一枚特定代币。CoinDCX 对旧地址的政策是：一旦存款到达，就立即为用户账户入账。随后，无论其单独的归集是否延迟，交易所都欠客户显示的金额。如果资产从旧钱包中消失，损失可以由公司承担，只要公司提供替代资金。
CoinDCX 表示自己正是这样做的。其确认损失的说法称，公司吸收了这 1599 万美元 USDT，并坚持客户余额、活跃钱包和运营未受影响。这与交易所把损失转嫁给存款人或暂停提现是不同的。与此同时，这一说法也值得通过对账、储备和提现数据进一步核实，因为外部观察者无法仅凭这些地址就审计全部客户负债。
交易所的说法并不意味着丢失的资金不存在。客户可能仍拥有完整的已入账余额，而公司则已经为一次盗窃或运营损失买单。从财务上看，公司必须用自有资产填补缺口，或者追回被盗代币。其偿付能力应结合有日期的财务披露和储备证明，以及提现是否继续正常结算来判断，而不是只看“资金安全”这句话。
CoinDCX 此前曾宣布设立客户保护基金，2024 年初始拨备约 600 万美元。该计划的存在并不能说明它为 2026 年 10 月的损失提供了资金，因为后者规模大于最初拨备。公司表示已自行吸收缺口。更透明的后续说明应当披露替代资金来自普通金库资产、专门储备、保险还是追回资产，而不是让客户仅凭旧项目名称去推测资金来源。
保存了旧地址的客户应更新付款指令。在公链上，发送方仍然可以向旧目的地广播交易，网络不会知道 CoinDCX 应用当前推荐的是哪个地址。交易所表示，对弃用地址的支持只是临时性的。如果这项支持终止，之后误转入旧地址的处理方式可能会改变。客户进行新转账时，只应依赖交易所应用中当前显示的地址，并在发送时核对资产和网络。
追踪 USDT 并不能识别盗贼
Bitquery 追踪到约 963 万美元 USDT 在中间钱包之间流转，随后在主转账后的 18 小时内流向其关联为 OKX、Binance 和 Gate 的存款地址。流入与交易所相关的地址，可能为调查者提供索取记录或寻求协作的线索，但这并不意味着这些交易所实施了盗窃、批准了盗窃，或仍持有全部资金。服务地址的归因也可能被修正。
同一研究还称，Tether 于 10 月 22 日冻结了 9 个钱包中的约 221 万美元 USDT。冻结可以阻止这些代币继续流动，但这不等于已经返还给 CoinDCX。要完成赔付，可能还需要法律程序、发行方协调以及所有权确认。原始公司声明并未宣布已追回资产。把被冻结金额直接写成已经返还的资金，会夸大已知事实。
公开记录更容易揭示交易规模和路径，而不是被攻破的方式。CoinDCX 提到，弃用基础设施中存在未知漏洞，但没有说明 10 月的损失是源于 2025 年暴露的密钥、后来的访问失败，还是其他路径。Bitquery 也明确表示，其分析无法显示转移资金的人是如何获得密钥的。准确的技术原因仍需要运营方在事后给出说明，最好还要有独立审查。
一个持有 1582 万美元 USDT 的地址，使得时间点尤其关键。如果这些代币在到达时就被归集走，那么在被盗时它们就不会还留在那个地址上。这样的反事实并不能证明盗窃一定会被完全阻止，因为目标钱包和访问控制同样重要。但它确实说明，归集服务的失效并非无关紧要：它决定了有多少价值仍停留在受影响路径上。
2025 年的漏洞是另一件事
2025 年 7 月的事件报告称，约 4400 万美元的损失来自一个用于在合作交易所提供流动性的内部运营账户。CoinDCX 表示，隔离冷钱包中的客户资产未受影响，并由公司金库承担了这部分敞口。新的 1599 万美元 USDT 损失则是 2026 年 10 月的另一事件，涉及此前那次漏洞后退役基础设施中的存款。
两者之间的联系之所以重要，是因为 CoinDCX 自己也表示，旧基础设施曾被攻破。一旦某个地址或其周边系统被视为暴露，继续通过它来挽救存款就需要格外谨慎的监控和快速转移资金。旧事件并不能证明同一攻击者卷土重来，公开审阅的材料也没有识别出 10 月转账背后的人。但共享的基础设施历史提出了一个直接的运营问题：既然风险已经被知晓，为什么那里还留着这么多资金？
2025 年，交易所还谈到过安全重构，以及将客户钱包与运营账户分离。彼时关于服务器漏洞的报道也提到其声称的首轮损失隔离。第二次事件表明，主托管的隔离只是工作的一部分。资金在到达主托管之前，会先经过地址和自动化服务。即便主冷钱包未受影响，旧的入金路径也可能造成损失。
在第一次事件之后，交易和卢比提现恢复，且公司重申将承担损失。当前的保证在面向客户的表述上与之相似，尽管机制不同。2025 年 7 月，遭攻击的是一个内部流动性账户；2026 年 10 月，出问题的是本应把进入退役基础设施的存款自动归集的服务。比较这两起事件时，必须把这些机制区分开来；两次都让公司损失资金，并不能证明是同一攻击者或同一漏洞路径。
这并不意味着客户遭到了直接扣款，而是公司在履行其已为客户入账的承诺时承担了损失。两种说法可以同时成立。若把事件说成“只是旧钱包正常移动”或“已经证明客户余额短缺”，都容易被标题混淆。CoinDCX 已承认公司确实发生了损失，同时否认客户余额受影响；公开数据并不能解决所有剩余的会计问题。
为何最初的否认很重要
当调查者最初传播这些转账时，CoinDCX 表示其当前钱包未被攻破，并暗示旧地址可能只是引发了误报。该声明回应了部分担忧，即主活跃基础设施是否被清空，但并未解释为何旧地址中的资金看起来像是被转走了。到了 10 月 25 日，公司披露了真实损失以及归集流程失效的情况。
CoinDCX 承认，自己本可以更主动地沟通。调查区块链转账需要时间，尤其是当地址标签和内部余额都需要核对时。公司在早期仍然可以说明哪些已知、哪些未知，而不必把未经证实的归因当作最终结论。这里，最初回应与后续说明之间的落差，让客户和独立调查者争论旧系统是否在任何有意义的层面上仍然“活着”。
最有用的后续说明，应当给出归集故障的时间线、监控何时首次发现余额累积、多少笔受影响存款已被入账，以及采取了哪些措施阻止更多存款继续累积。它还应区分由发行方冻结的资金与真正追回并返还的资金。这样的细节能让客户评估真正失效的是哪一环，而不是只依赖最初的否认或笼统的安抚。
公司表示，交易、充值和提现在整个过程中都持续进行。持续可用性确实能反映客户的即时体验，但它并不是对所有资产和负债的审计。若公司能提供损失吸收的说明，并辅以更新后的证明和持续满足提现的能力，结论会更稳固。监管机构也可能有报告要求，不过在所审阅的公开记录中，尚未发现与 10 月转账相关的已确认行动。
让钱包退役，不只是改一下应用
交易所可以停止在界面中显示旧充值地址，但它无法从 TRON 上删除这个地址，也无法让发送方保存的表单忘记它。交易所必须决定，是继续监控并挽救迟到的存款，还是尽可能阻止客户入账，或明确警告恢复可能无法实现。每一种选择都有后果。只要大多数客户已经迁移到新地址，恢复服务就意味着公司仍需持续监控。
CoinDCX 的做法把任务拆成两步：先入账，再归集。其 10 月披露显示，当第二步悄然停止时会发生什么。因此，这起事件不仅仅是一个密钥被攻破的问题。它暴露了客户被告知“资金已到账”的记账时点，与交易所真正把资产移出脆弱位置的托管时点之间的错配。
如果资产被追回，CoinDCX 的最终成本可能会变化。公司已报告 1599 万美元 USDT 损失，但在声明中并未宣布已追回这些资产。对客户而言，关键问题是已入账余额是否可以提现、未来存款是否会进入当前地址，以及交易所是否已修复监控缺口。对更广泛的市场而言，教训在于那个仍在承担新工作的旧地址。只要真实资金仍在流入，而另一个自动化流程又负责把它们救出来，它的“退役”就并不完整。
需要关注什么
- 故障时间线：关注归集何时停止、何时触发警报，以及员工何时首次注意到余额累积。
- 客户对账：查看是否有按日期列示的入账存款、替代资产和已完成提现的说明。
- 资产追回：区分被 Tether 冻结的 USDT 与实际返还给 CoinDCX 的资金。
- 技术原因：等待关于弃用钱包如何被清空的证据，不要先入为主地认为 2025 年的攻击者回来了。
- 旧地址政策：关注 CoinDCX 是否调整临时恢复服务，以及如何提醒仍把充值指令保存为旧地址的客户。
常见问题
CoinDCX 在 2026 年 10 月损失了多少？
公司确认，与旧钱包基础设施相关的损失为 1599 万美元 USDT。公司表示，这一损失由公司自行吸收。
客户账户余额被减少了吗？
CoinDCX 表示，存款到达旧地址时客户已被入账，且其余额和提现未受影响。独立链上数据无法审计其完整的内部客户账本。
为什么用户会把钱发到已退役地址？
一些用户保存了旧地址，即使公司已提示改用新地址仍继续使用。区块链地址即便在交易所不再显示后，仍然可以接收资金。
到底哪里出了问题？
CoinDCX 表示，把旧地址中的存款转移到安全钱包的自动服务在一段未说明的时间内停止工作。公司尚未公布完整的技术原因。
2025 年 7 月的攻击者是否偷走了 10 月的资金？
10 月事件的身份和作案方式尚未在公开层面确认。旧基础设施是在 2025 年 7 月事件后退役的，但两起事件彼此独立。
丢失的 USDT 去了哪里？
Bitquery 追踪到约 963 万美元 USDT 经中间钱包流向与其他交易所相关的地址。该追踪并不能证明这些接收账户由谁控制。
被冻结的 221 万美元 USDT 已经返还了吗？
Bitquery 表示，Tether 在 9 个钱包中冻结了这部分资金。CoinDCX 的公开声明并未宣布这些被冻结代币已被追回并返还。
客户在充值前应检查什么？
每次转账都应使用交易所应用中当前显示的充值地址和网络。不要把之前保存的地址当作新付款的依据。本文仅供教育和信息参考，不构成投资建议。