Sàn tài sản mã hóa Ấn Độ CoinDCX xác nhận mất 15,99 triệu USDT từ các ví đã ngừng dùng, vài ngày sau khi CEO gọi đây là báo động giả.
Sàn giao dịch tài sản mã hóa Ấn Độ CoinDCX thừa nhận đã mất 15,99 triệu USDT, tương đương khoảng 16 triệu USD, trong một cuộc tấn công nhắm vào các ví nhận tiền gửi đã ngừng sử dụng sau vụ tấn công mạng tháng 7/2025. Xác nhận được đưa ra chỉ vài ngày sau khi nhà đồng sáng lập kiêm Giám đốc điều hành Sumit Gupta khẳng định trên nền tảng X rằng thông tin về việc hệ thống bị xâm nhập nhiều khả năng là “báo động giả”.
Trong bài đăng trên blog vào sáng sớm Chủ nhật, CoinDCX cho biết đã phát hiện hoạt động bất thường từ thứ Ba, ảnh hưởng đến hạ tầng ví cũ vốn tồn tại những lỗ hổng bảo mật chưa được xác định. Theo sàn, dịch vụ tự động quét và chuyển tiền giữa các ví đã gặp sự cố trong một khoảng thời gian, khiến tiền gửi của người dùng tích tụ tại một địa chỉ không còn được sử dụng. CoinDCX khẳng định toàn bộ thiệt hại do công ty tự bù đắp, tài sản người dùng vẫn được lưu giữ an toàn trong ví lạnh với cơ chế lưu ký nhiều lớp, và các hoạt động giao dịch, nạp, rút vẫn diễn ra bình thường.
Từ phủ nhận đến thừa nhận
Các giao dịch đáng ngờ được Darcy, nhà đồng sáng lập đơn vị hỗ trợ thu hồi tài sản FlashRescue, cảnh báo đầu tiên vào 1 giờ 30 phút sáng thứ Tư theo giờ miền Đông Mỹ (ET). Theo Darcy, khoảng 15,99 triệu USDT và 5.783,81 TRX đã bị chuyển khỏi ví nóng và một số địa chỉ nhận tiền gửi của CoinDCX vào 11 giờ 35 phút sáng thứ Ba, dồn về một địa chỉ duy nhất trên mạng Tron. Giao dịch lớn nhất trị giá 15.819.002 USDT. Số tiền sau đó được chia nhỏ và chuyển tới các địa chỉ nạp tiền trên Binance, OKX và Gate.
Chưa đầy ba giờ sau, ông Gupta bác bỏ thông tin, cho rằng các ví của CoinDCX không bị xâm nhập. Theo ông, những địa chỉ này đã bị chiếm quyền từ tháng 7/2025 và tin tặc chỉ đang tái sử dụng chúng. Tài khoản chính thức của sàn cũng gọi các cáo buộc là gây hiểu lầm. Tuy nhiên, nhà phân tích dữ liệu trên chuỗi ZachXBT nhanh chóng phản bác, chỉ ra rằng một địa chỉ nhận tiền gửi vẫn được một nhà cung cấp thanh khoản sử dụng suốt 10 tháng sau sự cố, thậm chí còn tự động chuyển tiền gửi của người dùng sang ví nóng hiện tại của CoinDCX vào tháng 4 và tháng 5/2026. Theo ZachXBT, điều này cho thấy đội ngũ của sàn đã không theo dõi và hạch toán đầy đủ khoản tiền gửi trị giá 15,8 triệu USD.
Đến 7 giờ 47 phút sáng thứ Tư, CoinDCX thừa nhận quy trình chuyển tiền tự động gặp sự cố, gây tổn thất vận hành, nhưng chưa công bố con số cụ thể cho tới bài đăng hôm Chủ nhật. ZachXBT sau đó khuyến nghị người dùng rút tài sản khỏi sàn, cho rằng các nhà sáng lập hoặc đã nói sai sự thật, hoặc thiếu năng lực nghiêm trọng. Dù vậy, ông vẫn hỗ trợ CoinDCX đóng băng số tài sản bị đánh cắp có giá trị lên tới hàng trăm nghìn USD.
Khoản thiệt hại mới chồng thêm lên tổn thất khoảng 44 triệu USD trong vụ tấn công tháng 7/2025. Khi đó, cảnh sát Bengaluru cho biết tin tặc đã giả danh nhân viên tuyển dụng để lừa một kỹ sư phần mềm của sàn cài mã độc lên máy tính công ty. Tháng 3 năm nay, ông Gupta và nhà đồng sáng lập Neeraj Khandelwal từng bị cảnh sát Ấn Độ bắt giữ liên quan đến một đơn tố cáo gian lận mà CoinDCX cho là xuất phát từ trang web giả mạo sàn.
Sự việc diễn ra một năm sau khi Coinbase đầu tư vào CoinDCX với mức định giá 2,45 tỷ USD theo ông Gupta. Khi được The Block đề nghị bình luận, đại diện truyền thông của CoinDCX chỉ dẫn chiếu đến bài đăng trên blog và không trả lời thêm.
