Pertes CoinDCX : 16 Millions Disparus Des Anciens Wallets

Imaginez laisser une boîte aux lettres sur un immeuble que vous avez quitté depuis des mois. Les facteurs continuent d’y glisser des lettres. Vous les récupérez encore… jusqu’au jour où quelqu’un d’autre ouvre la boîte et emporte tout. C’est exactement ce qui s’est produit chez CoinDCX. Des adresses de dépôt présentées comme retirées après un incident de 2025 ont continué à recevoir des fonds. L’exchange les crédite immédiatement aux clients. Un service automatique devait ensuite transférer les cryptos vers des coffres plus sûrs. Ce service a cessé de tourner. Résultat : près de 16 millions de dollars en USDT se sont volatilisés.

Comment Des Adresses Retirées Ont De Nouveau Fait Parler D’Elles

En juillet 2025, CoinDCX subit une faille importante. L’exchange remplace alors une partie de son infrastructure et demande à ses utilisateurs d’abandonner les anciennes adresses de dépôt. Sur le papier, le message est clair. Dans la pratique, une adresse blockchain ne disparaît jamais. Elle reste valide tant qu’on lui envoie des tokens. Certains clients, par habitude ou par oubli, continuent d’utiliser les coordonnées enregistrées dans leurs logiciels ou leurs messages anciens.

CoinDCX fait un choix pragmatique. Chaque fois qu’un dépôt arrive sur une de ces adresses, le solde client est crédité immédiatement. Le client peut trader ou retirer sans attendre. En parallèle, un mécanisme de balayage automatique est censé déplacer les fonds vers une infrastructure plus récente et mieux protégée. Ce double système protège l’utilisateur contre la perte d’un virement mal orienté. Il crée aussi une responsabilité nouvelle pour l’exchange : celle de garantir que le second mouvement s’effectue réellement.

Pendant un temps, le système fonctionne. Puis, pendant une durée que la société n’a pas encore précisée, le balayage s’arrête. Les USDT s’accumulent. Un jour, ils disparaissent. La société découvre l’anomalie le 21 octobre 2026 et confirme le lendemain des mouvements inhabituels sur la chaîne. Le 25 octobre, elle annonce officiellement une perte de 15,99 millions d’USDT.

Le Mécanisme De Crédit Immédiat Et Ses Risques

Sur la plupart des plateformes, le client voit un solde dans son interface, pas un token précis dans une adresse qui lui est exclusivement réservée. CoinDCX a appliqué la même logique aux adresses dépréciées. Dès qu’une transaction arrive, le compte est crédité. L’exchange s’engage ensuite à récupérer les actifs ou à les remplacer sur ses propres fonds.

Ce modèle offre un confort évident. Un utilisateur qui se trompe d’adresse ne perd pas son argent du jour au lendemain. Mais il transforme l’exchange en assureur temporaire. Si le balayage échoue et que les fonds sont volés, la société doit combler le trou. C’est exactement ce qu’elle affirme avoir fait en octobre 2026 : absorber la totalité de la perte sans toucher aux soldes affichés des clients ni aux portefeuilles actifs.

Les clients ont été crédités dès l’arrivée des fonds. La société a pris en charge la perte. Les soldes, les portefeuilles actifs et les systèmes de trading n’ont pas été impactés.

Explication officielle de CoinDCX, 25 octobre 2026

Cette affirmation est importante. Elle distingue clairement un sinistre opérationnel d’une faillite ou d’une réduction forcée des comptes clients. Elle reste cependant une déclaration interne. Un observateur extérieur ne peut pas vérifier le grand livre des engagements clients simplement en regardant les adresses TRON concernées.

Ce Que Révèlent Les Analyses On-Chain

Bitquery a examiné quarante adresses TRON touchées. Une seule d’entre elles concentrait environ 15,82 millions d’USDT, issus de quatre-vingt-huit dépôts provenant apparemment d’un même expéditeur. Selon l’analyse, ces fonds n’avaient pas été déplacés depuis mars. Si cette datation est exacte, l’interruption du balayage a duré bien plus longtemps qu’un simple incident technique de quelques heures.

Les analystes ont également repéré des recharges en TRX, le token natif nécessaire pour payer les frais de transfert d’USDT sur le réseau TRON. Ces petits apports de liquidité ont précédé des mouvements de sortie, y compris le 21 octobre. Un exchange a besoin de ces recharges pour faire sortir les tokens d’une adresse de dépôt. Leur présence a nourri les doutes initiaux sur le caractère réellement « abandonné » de ces wallets.

Bitquery a suivi près de 9,63 millions d’USDT qui, en moins de dix-huit heures, ont transité par des wallets intermédiaires avant d’atteindre des adresses associées à OKX, Binance et Gate. Cette traçabilité offre des pistes d’enquête. Elle ne prouve ni que ces plateformes ont participé au détournement, ni qu’elles détiennent encore les fonds. Les attributions d’adresses peuvent évoluer avec le temps.

Le gel de 2,21 millions d’USDT par Tether le 22 octobre constitue une mesure de précaution. Un gel empêche ces tokens de circuler. Il ne constitue pas encore une restitution. Pour que CoinDCX récupère ces montants, il faudra probablement des démarches juridiques et une coordination avec l’émetteur. À ce stade, la société n’a pas annoncé de récupération effective.

Pourquoi La Première Réaction A Créé La Confusion

Lorsque les premiers mouvements inhabituels ont circulé, CoinDCX a d’abord insisté sur le fait que ses portefeuilles actifs n’avaient pas été compromis. Les adresses en question dataient de l’incident de 2025. Cette réponse répondait à une partie de la question, mais laissait un trou béant : si ces wallets étaient vraiment hors service, pourquoi les fonds qui s’y trouvaient avaient-ils disparu ?

Entre le 22 et le 25 octobre, le discours a évolué. La société a reconnu une perte réelle et un dysfonctionnement du service de balayage. Elle a aussi admis qu’elle aurait pu communiquer plus tôt et plus clairement. Ce décalage a alimenté les spéculations et les critiques d’investigateurs indépendants, dont ZachXBT, qui soulignaient l’activité continue autour de ces adresses.

Une communication plus précise dès le départ aurait pu limiter la confusion. Distinguer clairement « pas de breach sur l’infrastructure principale » de « perte sur un processus legacy » est crucial. Les deux affirmations peuvent être vraies en même temps. Elles n’ont pas la même portée pour la confiance des utilisateurs.

Lien Avec L’Incident De Juillet 2025

En juillet 2025, CoinDCX avait déjà enregistré une perte d’environ 44 millions de dollars sur un compte opérationnel utilisé pour la liquidité auprès d’un partenaire. L’exchange avait alors affirmé que les actifs clients en cold wallets n’avaient pas été touchés et qu’il avait couvert la perte avec ses propres réserves. L’épisode d’octobre 2026 est distinct. Il concerne des dépôts arrivés sur une infrastructure retirée après ce premier événement.

Le lien existe pourtant. CoinDCX elle-même indique que cette infrastructure avait été compromise. Continuer à y recevoir et à y traiter des dépôts exigeait donc une surveillance renforcée et un mouvement rapide des fonds. Laisser s’accumuler des millions pendant une période indéterminée sur un chemin déjà jugé à risque soulève une question opérationnelle simple : pourquoi ce volume est-il resté exposé aussi longtemps ?

Les deux incidents illustrent aussi que la séparation des wallets clients et des comptes opérationnels ne suffit pas. Les dépôts transitent par des adresses d’entrée et des services automatisés avant d’atteindre le coffre principal. Une faille sur ce chemin d’entrée peut créer une perte même si les cold wallets restent intacts.

Ce Que Signifie Vraiment « Retirer » Une Adresse

Une plateforme peut cesser d’afficher une adresse dans son application. Elle ne peut pas l’effacer de la blockchain. N’importe qui peut continuer à y envoyer des tokens. L’exchange doit alors choisir une politique : surveiller et récupérer les dépôts tardifs, refuser le crédit, ou prévenir clairement que la récupération n’est plus garantie.

CoinDCX a opté pour le crédit immédiat suivi d’un balayage. Ce choix protège l’utilisateur contre l’erreur. Il impose en retour une discipline de fer sur le monitoring. Quand le second volet s’arrête sans alerte efficace, le risque se matérialise. L’événement d’octobre montre exactement ce déséquilibre entre le moment comptable (le client est crédité) et le moment de custody (les fonds quittent réellement la zone à risque).

Pour les utilisateurs, la leçon est directe. L’adresse affichée dans l’application au moment du transfert est la seule à utiliser. Une adresse sauvegardée il y a six mois peut encore fonctionner techniquement. Elle n’est plus nécessairement protégée de la même façon. La société a indiqué que le support des adresses dépréciées reste temporaire. Si ce support s’arrête, le traitement d’un dépôt accidentel pourrait changer.

Les Zones D’Ombre Qui Restent

Plusieurs éléments manquent encore pour juger pleinement de la situation. CoinDCX n’a pas précisé la durée exacte de la panne du balayage. Elle n’a pas indiqué si des alertes ont été déclenchées, combien de clients étaient concernés, ni pourquoi un solde aussi important n’a pas déclenché d’intervention plus tôt. Ces détails permettraient de distinguer une interruption de quelques heures d’un dysfonctionnement de plusieurs semaines ou mois.

La méthode exacte du détournement n’est pas non plus établie. La société parle de vulnérabilités inconnues sur l’infrastructure dépréciée. Elle n’a pas dit si les clés compromises en 2025 ont été réutilisées, si une nouvelle faille d’accès est apparue, ou si un autre scénario s’est produit. Bitquery a explicitement indiqué que son analyse ne permettait pas de déterminer comment les acteurs ont obtenu les moyens de déplacer les fonds.

Enfin, le financement de la compensation reste opaque. CoinDCX avait annoncé en 2024 un fonds de protection client d’environ 6 millions de dollars. Ce montant est inférieur à la perte d’octobre. La société affirme avoir absorbé le manque à gagner. Un suivi utile préciserait si les fonds de remplacement proviennent de la trésorerie courante, d’une réserve dédiée, d’une assurance ou de récupérations futures.

Ce Que Les Clients Doivent Surveiller

Pour un utilisateur de CoinDCX, plusieurs points restent à vérifier dans les prochaines semaines. La capacité à retirer les soldes crédités constitue le test le plus immédiat. Le maintien des dépôts et des retraits sans interruption est un signal positif, mais il ne remplace pas une attestation de réserves actualisée.

Il sera également utile de suivre l’évolution de la politique sur les adresses anciennes. Si l’exchange décide de cesser le crédit automatique, les clients qui utilisent encore des coordonnées sauvegardées devront être clairement informés. Un changement de règles sans communication suffisante créerait un nouveau risque de confusion.

Enfin, la distinction entre tokens gelés et tokens réellement récupérés mérite attention. Un gel par Tether est une première étape. La restitution effective à CoinDCX en est une autre. Les prochaines déclarations de la société sur ce point permettront de savoir si le coût net de l’incident diminue ou s’il reste proche des 16 millions annoncés.

Les Enseignements Pour L’Ensemble Du Secteur

Cet épisode dépasse le cas d’une seule plateforme indienne. Il illustre un problème structurel de la gestion des adresses de dépôt. Les exchanges multiplient les générations d’adresses pour des raisons de sécurité. Ils ne peuvent pas forcer les utilisateurs à mettre à jour leurs carnets d’adresses. La coexistence de plusieurs générations crée des zones grises opérationnelles.

Le crédit immédiat est une pratique répandue. Elle améliore l’expérience utilisateur. Elle exige en retour des contrôles de monitoring particulièrement robustes. Un service de balayage qui peut s’arrêter silencieusement pendant une période prolongée constitue une vulnérabilité systémique. Les alertes sur les soldes stagnants devraient être prioritaires, surtout sur des adresses déjà considérées comme à risque.

La traçabilité on-chain offre une transparence précieuse, mais elle a ses limites. Elle montre les mouvements et les soldes. Elle ne montre ni les écritures internes, ni les alertes manquées, ni l’identité des détenteurs de clés. Les investigations indépendantes et les analyses d’entreprises comme Bitquery apportent des éléments utiles. Elles ne remplacent pas un post-mortem détaillé de l’opérateur, idéalement revu par un tiers.

Une Chronologie Qui Manque Encore De Précision

Voici ce que l’on peut reconstruire à partir des déclarations publiques et des analyses de chaîne. Après l’incident de juillet 2025, certaines adresses sont marquées comme dépréciées. Les clients sont invités à utiliser de nouvelles destinations. Malgré cela, des dépôts continuent d’arriver. CoinDCX les crédite et balaye les fonds… jusqu’à ce que le balayage s’interrompe.

Selon Bitquery, l’adresse principale n’avait plus vu de mouvement de sortie depuis mars 2026 pour une partie importante de ses dépôts. Le 21 octobre, CoinDCX repère une activité inhabituelle dans ses systèmes. Le 22, des mouvements on-chain irréguliers sont constatés. Le même jour, Tether gèle environ 2,21 millions d’USDT. Le 25 octobre, la société confirme la perte de 15,99 millions d’USDT et précise qu’elle l’a absorbée.

Cette chronologie reste lacunaire sur les dates exactes de début de la panne et sur les alertes internes. Un calendrier précis des événements techniques et organisationnels permettrait de mieux évaluer la qualité de la détection et de la réaction.

Les Implications Pour La Confiance Des Utilisateurs

CoinDCX affirme que les soldes clients n’ont pas été touchés et que les opérations se sont poursuivies normalement. Si cette affirmation se confirme dans la durée, l’impact direct sur les utilisateurs sera limité. L’impact sur la confiance peut être plus durable. Deux incidents majeurs en un peu plus d’un an, même s’ils reposent sur des mécanismes différents, interrogent sur la solidité des processus de transition d’infrastructure.

La transparence sur le financement de la compensation et sur les mesures correctives prises sera déterminante. Un exchange qui absorbe une perte de près de 16 millions sans affecter les clients démontre une capacité financière. Il doit aussi démontrer qu’il a corrigé le processus défaillant pour éviter qu’une situation similaire ne se reproduise.

Les utilisateurs, de leur côté, ont un rôle à jouer. Vérifier systématiquement l’adresse affichée dans l’application avant chaque envoi reste la meilleure protection contre ce type de scénario. Les carnets d’adresses et les scripts automatisés doivent être mis à jour dès qu’une plateforme annonce un changement d’infrastructure.

Ce Qu’Il Faut Retenir Pour L’Avenir

L’histoire de ces 16 millions disparus n’est pas celle d’un simple vol de cold wallet. C’est l’histoire d’un processus de transition incomplet. Des adresses ont été retirées de l’interface, mais pas du circuit de réception et de traitement. Un service de balayage a été mis en place pour gérer le résidu. Ce service a failli. Les fonds se sont accumulés dans une zone déjà jugée compromise. Ils ont ensuite disparu.

CoinDCX a choisi de protéger ses clients en absorbant la perte. Cette décision limite le préjudice immédiat pour les utilisateurs. Elle ne clôt pas le débat sur la durée de la panne, sur la qualité du monitoring, ni sur les mesures prises pour empêcher qu’une situation comparable ne se reproduise. Les prochaines communications de la société sur ces points seront scrutées de près.

Pour le marché plus large, l’épisode rappelle qu’une adresse « dépréciée » n’est jamais totalement hors service tant que des fonds peuvent encore y arriver et qu’un processus interne est chargé de les sauver. La retraite d’une adresse de dépôt est un projet opérationnel complet. Elle ne se résume pas à un changement d’affichage dans une application.

Les utilisateurs qui ont encore des adresses anciennes enregistrées ont intérêt à les remplacer dès maintenant. Ceux qui suivent l’actualité de CoinDCX gagneront à surveiller les éventuelles précisions sur la chronologie de la panne, sur les récupérations effectives et sur les évolutions de la politique de gestion des dépôts legacy. Ces éléments diront si l’incident d’octobre 2026 reste un accident isolé ou s’il révèle une fragilité plus structurelle dans la gestion des transitions d’infrastructure.

En attendant, le message le plus concret reste simple. Avant chaque transfert, ouvrez l’application, copiez l’adresse affichée à cet instant, vérifiez le réseau et l’actif. Une adresse sauvegardée depuis des mois peut encore recevoir vos tokens. Elle n’est plus nécessairement sous la même protection qu’au moment où vous l’avez notée. Dans un univers où les adresses ne meurent jamais vraiment, la vigilance sur les coordonnées de dépôt reste l’un des gestes de sécurité les plus efficaces et les plus accessibles.

L’affaire CoinDCX d’octobre 2026 restera comme un cas d’école. Elle montre comment une bonne intention – protéger le client qui se trompe d’adresse – peut créer une exposition nouvelle si le processus de récupération n’est pas surveillé avec la même rigueur que les coffres principaux. Elle rappelle aussi que la transparence progressive, même tardive, vaut mieux qu’un silence ou qu’une minimisation initiale. Les prochains mois diront si les leçons ont été tirées et si les utilisateurs peuvent retrouver une confiance durable dans la capacité de la plateforme à gérer ses transitions techniques sans laisser de zones d’ombre dangereuses.