A CoinDCX contesta alegações de ZachXBT e Darcy sobre cerca de US$ 16 milhões em saídas na rede TRON vinculadas a endereços associados à exchange. As transferências reportadas, sinalizadas no fim de 2026-10-21, incluíram 15,99 milhões de USDT e 5.783,81 TRX; a CoinDCX afirmou que as carteiras já haviam sido comprometidas em julho de 2025, e não sofreram uma nova invasão. Com isso, permanece a disputa sobre se antigas rotas de depósito seguiram ativas muito depois daquele ataque.

O que ocorreu na disputa sobre as transferências de US$ 16 milhões da CoinDCX

A disputa atual gira em torno de saídas na TRON reportadas no fim de 2026-10-21 a partir de endereços ligados à CoinDCX, e não de uma nova invasão confirmada. O relato fornecido atribui a Darcy a identificação da transferência de 15,99 milhões de USDT e 5.783,81 TRX para um único endereço TRON, enquanto a CoinDCX teria negado um novo incidente de segurança e relacionado as carteiras sinalizadas ao comprometimento sofrido em julho de 2025.

Isso permite duas interpretações distintas para o mesmo evento. Segundo a posição atribuída à CoinDCX, invasores estavam reutilizando endereços antigos já comprometidos. A contestação de ZachXBT é mais específica, mas mais séria para os usuários: se ao menos um desses endereços continuava funcionalmente ligado às operações da exchange muito depois do incidente de julho de 2025. Nesse caso, a questão seria menos uma invasão inteiramente nova e mais uma exposição não resolvida nos controles de carteiras.

O que significa a explicação da CoinDCX sobre a falha de varredura

A explicação atribuída à CoinDCX vai além de simplesmente dizer que “não houve novo hack”. Segundo a Livemint, a empresa reconheceu uma falha no processo destinado a transferir para armazenamento seguro os depósitos recebidos por endereços comprometidos que haviam sido descontinuados, e afirmou que absorveu as perdas operacionais decorrentes dessa falha.

Essa é uma distinção importante. Ela descreve um cenário em que as carteiras ativas atuais não foram novamente invadidas, mas perdas ainda poderiam ocorrer porque depósitos ou saldos permaneceram expostos em endereços antigos por mais tempo do que o previsto. Ao mesmo tempo, as informações reportadas não estabelecem quanto a CoinDCX perdeu, por quanto tempo o processo falhou nem se a perda absorvida corresponde aos cerca de US$ 16 milhões observados nas saídas contestadas na TRON.

No mesmo relato, a CoinDCX afirmou que os depósitos dos usuários afetados foram creditados e que os ativos dos clientes permaneceram em carteiras frias segregadas. Sem registros diretos das carteiras ou uma declaração completa da empresa, porém, isso ainda não resolve se os saldos em disputa eram depósitos de clientes, fundos corporativos ou uma combinação dos dois.

Por que a questão dos endereços antigos é o verdadeiro sinal de risco

A principal questão ainda sem resposta é se as carteiras sinalizadas foram de fato desativadas após o hack de julho de 2025. Um trecho da crypto.news que resume a análise de ZachXBT afirma que ao menos um endereço de depósito na TRON continuou em uso por cerca de 10 meses após o incidente e seguiu transferindo depósitos para a carteira quente atual da CoinDCX em abril e maio de 2026.

Se esse relato estiver correto, o sinal de risco não é apenas que hackers voltaram a tocar uma infraestrutura antiga. Isso sugeriria que a migração pós-ataque para fora das rotas de depósito comprometidas ficou incompleta, ou que o monitoramento e a movimentação automatizada de fundos nesses endereços permaneceram frágeis por um período prolongado. Se, em vez disso, a interpretação da CoinDCX estiver correta, o episódio se parece mais com uma consequência tardia de carteiras antigas já comprometidas do que com a prova de uma segunda invasão.

Para quem busca responder à questão central, a conclusão mais precisa é limitada: as evidências fornecidas sustentam uma disputa em curso sobre o uso de carteiras antigas e uma falha reportada no processo de varredura, mas não uma conclusão confirmada de que a CoinDCX sofreu um novo hack ou de que todos os cerca de US$ 16 milhões eram recursos comprovadamente perdidos de clientes em carteiras ativas.