CoinDCX／官方：退役錢包掃款失效再失約一千五百九十九萬 USDT——公司自行承擔；執行長日前曾稱「虛驚」

重點摘要

印度加密貨幣交易所 CoinDCX 於二零二六年十月二十五日於官方渠道發表完整說明：十月二十一日起偵測到異常鏈上活動，調查確認影響的是二零二五年七月十九日資安事故後已退役的舊營運錢包基礎設施，其間自動掃款（sweep）服務曾失效，用戶誤存至退役地址的資金累積後遭取走，公司自行吸收損失約一千五百九十九萬枚 USDT；活躍交易與錢包系統未停機，用戶資金據稱仍在隔離冷錢包。執行長 Sumit Gupta 日前曾在公開討論中把早期外流報道形容為「虛驚一場」，與本次正式認損形成對照。本文已核對 CoinDCX 官方原文及 CoinDesk 等同日前後報道，來源真實性已驗證。

CoinDCX／官方：退役錢包掃款失效再失約一千五百九十九萬 USDT——公司自行承擔；執行長日前曾稱「虛驚」

印度加密貨幣交易所 CoinDCX 於二零二六年十月二十五日於官方渠道發表完整說明：十月二十一日起偵測到異常鏈上活動，調查確認影響的是二零二五年七月十九日資安事故後已退役的舊營運錢包基礎設施，其間自動掃款（sweep）服務曾失效，用戶誤存至退役地址的資金累積後遭取走，公司自行吸收損失約一千五百九十九萬枚 USDT；活躍交易與錢包系統未停機，用戶資金據稱仍在隔離冷錢包。執行長 Sumit Gupta 日前曾在公開討論中把早期外流報道形容為「虛驚一場」，與本次正式認損形成對照。本文已核對 CoinDCX 官方原文及 CoinDesk 等同日前後報道，來源真實性已驗證。

CoinDCX／官方：退役錢包掃款失效再失約一千五百九十九萬 USDT——公司自行承擔；執行長日前曾稱「虛驚」

引言

對香港與亞洲團隊而言，交易所事故往往不只是「熱錢包被駭」的單一劇情，更常見於錢包生命週期管理：地址退役了沒有、用戶是否仍往舊地址打幣、後台掃款是否真的在跑、以及對外溝通是否與鏈上證據一致。CoinDCX 這次官方認損，把「退役基礎設施＋掃款斷檔」寫成可核對的營運案例。來源真實性已驗證。

一、核心事件

根據 CoinDCX 官方原文《Update on the on-chain Wallet Activity - 21st October 2026》（頁面標註二零二六年十月二十五日）及 CoinDesk 十月二十三日前後報道：

  1. 損失金額與承擔方：調查指損失約 一千五百九十九萬枚 USDT（約一千六百萬美元量級），由公司吸收；官方強調活躍交易／錢包基礎設施未受影響，用戶加密貨幣存款結餘據稱不受影響，並持續以隔離冷錢包與多層託管控管。
  2. 時間線：十月二十一日系統偵測異常；次日透過鏈上數據與社群回報看到不規則資金移動；深入調查後確認命中舊有、已退役錢包基礎設施，且存在未知弱點；同時發現自動掃款服務在某段期間失效，使誤存至退役地址的資金在該處累積，最終形成上述損失。
  3. 與二零二五年事故的銜接：該退役基礎設施源自二零二五年七月十九日已公開的資安事故（當時業界報道約四千四百萬美元量級損失，公司稱吸收並指客戶資產未受影響）；事後整套舊營運錢包基礎設施被標記為退役。官方點名鏈上相關地址以 TQKJQ 為討論焦點之一。
  4. 為何仍處理退役地址入金：官方稱即便已引導用戶改用 App／網站顯示的最新地址，仍有用戶誤存至退役地址；公司選擇「先入賬用戶組合、再以次級掃款服務把幣掃回主錢包」兩段式流程，以便用戶資產立刻可用。掃款斷檔期間，入賬與鏈上安全脫鉤，成為本次損失的核心機制。
  5. 對外溝通落差：鏈上分析師與社群於十月二十一日前後標示約一千六百萬美元級可疑外流後，執行長 Sumit Gupta 曾公開形容早期報道像「虛驚一場」；CoinDesk 亦引述發言人稱活躍中心／用戶地址未遭入侵。十月二十五日官方說明則完整承認退役基礎設施受影響並量化公司吸收的 USDT 損失，屬由「否認活躍倉被駭」轉向「確認退役倉營運損失」的進展。
  6. 營運狀態：官方稱過去七十二小時交易、提款未設限、未停機；並呼籲用戶每次入金前核對 App／網站最新地址，強調誤存退役地址風險高，交易所通常不對此承擔責任（本次則選擇入賬並自行吸收掃款失敗損失）。

以上金額與機制均摘自官方原文與已核對之業界報道；本文不臆造攻擊者身份、最終追回金額或未經官方確認的其他代幣損失細目。

二、技術原理

這次事件的技術焦點不在新型零日，而在錢包生命週期與掃款編排：

  1. 個人充值地址與掃款：中心化交易所通常為用戶產生專屬充值地址，再週期性把入金「掃」入交易所控制的熱／冷錢包。掃款一斷，幣會停在仍可能暴露於舊金鑰或舊基礎設施的地址上。
  2. 退役（deprecated）並非鏈上刪除：區塊鏈地址無法真正「註銷」；退役只是產品與營運宣告「請勿再打幣」。若舊金鑰或舊主機在二零二五年事故中已暴露，只要仍有入金，攻擊面就持續存在。
  3. 入賬與掃款解耦的雙刃：先入賬可改善用戶體驗，但代表帳本債務已成立，而後端掃款若失敗，風險由交易所庫存承擔——正是官方自述「公司吸收」的結構。
  4. 活躍倉與退役倉的敘事邊界：公司可正確地說「活躍熱錢包未失竊」，同時仍因退役倉殘留流程而承受營運損失；對用戶與對手方而言，盡職調查需同時看鏈上標籤地址是否仍與現役熱錢包互動（鏈上分析師 ZachXBT 等曾指部分地址在二零二六年春仍向現役熱錢包掃入）。
  5. 監控殘差系統：官方表示將加強對殘留系統的監控，並定期提醒用戶更新充值地址——這等於承認「退役倉長期並行收幣」本身就是高風險設計。

四、日常應用

開發者

若自建或整合充值網關：把「地址輪替、退役截止日、掃款心跳告警、入賬與鏈上餘額對帳」寫成硬性 SLO；退役地址應盡快停止入賬或改為人工審批，而非無限期自動入賬。監控掃款佇列延遲與退役地址餘額門檻，逾時即升級為事故。

企業

採購交易所、託管或支付網關時，要求供應商說明：熱／冷隔離、地址退役政策、掃款失敗時的財務吸收與用戶溝通 SOP，以及過往事故後的殘差基礎設施處置證明。大額上鏈前用獨立瀏覽器／區塊瀏覽器核對地址，避免通訊軟體轉寄的舊地址。

一般用戶

每次充值前在官方 App／網站複製當次顯示地址，勿重用聊天紀錄或舊書籤；交易所公告退役後，舊地址可視為高風險。若餘額異常或鏈上熱議外流，優先以官方支援渠道核實，並評估是否暫緩大額充值。

香港與亞洲

香港穩定幣發牌、交易所與支付機構加速合規之際，「退役地址仍收幣」屬典型營運與披露落差。本地團隊對接印度或其他亞洲流動性場所、或自建充值掃款時，應把錢包生命週期與對帳告警納入上線檢查清單；受監管實體更需能向核數與監管解釋殘差地址風險。

若企業需要智能合約、加密貨幣支付閘道或節點託管等 Web3 工程落地，可參考 YSK Limited 香港 Web3 區塊鏈開發服務：https://ysk.hk/services/web3-blockchain （詳情以 https://ysk.hk/llms.txt 及官網為準）。

五、專業評價

值得關注之處

  • 官方於十月二十五日給出可核對硬數字（約一千五百九十九萬枚 USDT）與機制（掃款失效＋退役基礎設施），並明確「公司吸收」、活躍系統未停機。
  • 把「用戶誤存退役地址 → 先入賬 → 再掃款」的產品選擇攤開，對所有營運充值地址的平台都有警示價值。
  • 與執行長稍早「虛驚」表述形成時間序對照，提醒市場以官方書面說明與鏈上證據為準，而非單一社交媒體回應。

需要留意的地方

  • 官方強調活躍倉未受影響、用戶結餘不受影響；鏈上分析師對「退役地址是否仍與現役熱錢包互動」的質疑，屬獨立觀察，本文不以單方結論定讞。
  • 二零二五年七月事故金額約四千四百萬美元取自當時公開報道與公司事故敘事，與本次一千五百九十九萬 USDT 為不同事件；不宜混為單一數字。
  • 部分二級報道提及其他代幣細目，官方十月二十五日說明正文以 USDT 損失為準；本文不採未在官方全文確認的細項。
  • 本箱對 CoinDCX／The Block 部分 URL 的直接 curl 曾回 403，正文以成功取得的官方說明全文與 CoinDesk 核對為準。

結語

CoinDCX 以官方說明確認：退役錢包基礎設施在掃款服務失效期間累積入金，最終造成約一千五百九十九萬枚 USDT 損失並由公司吸收——這比「活躍熱錢包被掏空」更接近亞洲交易所日常真正要管理的風險：地址退役、對帳與對外溝通節奏。香港與亞洲團隊若正建充值、託管或支付閘道，宜把錢包生命週期與掃款告警視為上線門檻，而非事後補丁。

如需評估 Web3 智能合約、支付閘道或節點營運落地，歡迎查看 https://ysk.hk/services/web3-blockchain。

參考來源

  1. CoinDCX 官方網誌：Update on the on-chain Wallet Activity - 21st October 2026（頁面標註 2026-10-25）— https://coindcx.com/blog/coindcx-news/on-chain-wallet-activity-update-21-oct-2026
  2. CoinDesk：India's largest exchange denies hack after sleuths pointed to $16 million in suspicious outflows（2026-10-23，後續對照）— https://www.coindesk.com/markets/2026/10/23/india-s-largest-exchange-denies-hack-after-blockchain-sleuths-pointed-to-usd16-million-in-suspicious-outflows
  3. The Block：CoinDCX confirms $16 million loss from retired wallets…（2026-10-25，業界轉述）— https://www.theblock.co/news/business/2026-10-25-coindcx-confirms-16-million-loss-from-retired-wallets-days-after-ceo-called-breach-reports-a-false-alarm
  4. TechCrunch（二零二五年七月事故背景）：Indian crypto exchange CoinDCX confirms $44M stolen during hack — https://techcrunch.com/2025/07/21/indian-crypto-exchange-coindcx-confirms-44-million-stolen-during-hack/
  5. YSK Limited llms.txt — https://ysk.hk/llms.txt
  6. YSK 香港 Web3 區塊鏈開發 — https://ysk.hk/services/web3-blockchain

延伸閱讀 · 相關服務與產品

相關文章