De CoinDCX-hack van $44 miljoen uitgelegd

Een inbreuk die de Indiase cryptosector schokte

CoinDCX, een van India's meest prominente cryptobeurzen, bevestigde een inbreuk op de beveiliging die resulteerde in de diefstal van meer dan $ 44 miljoen in digitale activa. 

De exploit was gericht op een operationele portemonnee op de Solana netwerk dat gebruikt wordt voor liquiditeitsvoorziening, niet voor de wallets van klanten. Ondanks de snelle en grootschalige aard van de aanval, benadrukt het bedrijf dat de fondsen van gebruikers onaangetast en volledig veilig blijven.

Het incident werd niet als eerste opgemerkt door het bedrijf, maar door een blockchain-onderzoeker Zach XBT, die verdachte geldbewegingen volgde en de gecompromitteerde wallet identificeerde als die van CoinDCX. Zijn onthulling dwong CoinDCX binnen enkele minuten tot een reactie, wat een van de meest opvallende cryptobeveiligingsincidenten in India dit jaar markeerde.

Hoe de aanval zich ontvouwde

Volgens het on-chain beveiligingsbedrijf cyversDe aanval was goed gepland en nauwkeurig uitgevoerd. De opzet begon al op 16 juli 2025, met 1 ETH verzonden vanaf Tornado Cash – een cryptocurrencymixer die vaak wordt gebruikt om de herkomst van fondsen te verdoezelen. Deze ETH werd gestort op FixedFloat, opgenomen op Polygon en later overgezet naar Solana, waar het werd omgezet naar SOL om transactiekosten te dekken.

Think Meir Dolev, oprichter van Cyvers, startte de aanvaller op 18 juli om 21:07 UTC een testtransactie met slechts 1 USDT. Toen begon de echte exploit. Binnen vijf minuten plunderde de aanvaller ongeveer $ 44.2 miljoen aan USDT en USDC van een van CoinDCX's operationele wallets op Solana.

De volgorde van opnames is als volgt:

• 22:09 UTC: $2 miljoen
• 22:10: $7 miljoen
• 22:11: $10 miljoen
• 22:12: $10 miljoen
• 22:13: Twee afzonderlijke transacties van elk $ 5 miljoen
• 22:14: Laatste opname van $5 miljoen

Enkele minuten later volgden kleinere overboekingen, waaronder 102,000 USDC en 79,000 USDT. Een deel van het gestolen geld – $15.8 miljoen – werd overgemaakt van Solana naar Ethereum, mogelijk om de routes te diversifiëren en de terugvordering te bemoeilijken.

CoinDCX reageert

De inbreuk kwam onder de aandacht van het publiek toen ZachXBT zijn bevindingen deelde op Telegram, wat leidde tot een snelle bevestiging door CoinDCX CEO Sumit Gupta. Hij noemde het incident een "geavanceerde serverinbreuk" die één enkel operationeel account van een partnerbeurs hackte.

Belangrijk is dat Gupta bepaald dat:

• Alle gebruikersactiva worden opgeslagen in koude wallets
• Er zijn geen klanttegoeden getroffen
• Het platform blijft normaal functioneren voor handel en INR-opnames

"Het incident werd snel ingedamd door de getroffen operationele rekening te isoleren", benadrukte Gupta. "Omdat onze operationele rekeningen gescheiden zijn van de portemonnees van klanten, is de blootstelling beperkt tot deze specifieke rekening en wordt deze volledig door ons geabsorbeerd - uit onze eigen schatkistreserves."

Ontdek veelbelovende projecten...

Veelbelovende projecten...

(Advertentie)

Artikel gaat verder...

Veiligheidsmaatregelen en herstelplannen in uitvoering

CoinDCX zegt cybersecuritybedrijven te hebben ingeschakeld om de inbreuk te onderzoeken en de verplaatsing van gestolen activa te traceren. Het bedrijf werkt samen met de anonieme partnerbeurs om waar mogelijk tegoeden te bevriezen. Er is ook een bug bounty-programma in ontwikkeling, gericht op het identificeren van kwetsbaarheden voordat aanvallers deze kunnen misbruiken.

Ondanks de inbreuk blijft CoinDCX volhouden dat zijn systemen betrouwbaar zijn. Het bedrijf beweert al lang een meerlaagse beveiligingsarchitectuur te gebruiken. Geld wordt verdeeld over verschillende wallets en bewaarders. 

Maandelijkse rapporten over de bewijsvoering van reserves vormen een hoeksteen van het transparantiebeleid van de beurs. Er is ook een compensatiefonds bedoeld om gebruikers te dekken in noodgevallen – hoewel in dit geval de fondsen van klanten niet werden getroffen.

CoinDCX, opgericht in 2018, groeide snel uit tot India's eerste crypto-unicorn in 2021, nadat het $90 miljoen had opgehaald bij een waardering van $1.1 miljard. In 2022 verdubbelde een nieuwe investeringsronde van $135 miljoen de waardering bijna tot $2.15 miljard.

In juli 2024 nam CoinDCX het in Dubai gevestigde BitOasis over, een stap die de intentie van het bedrijf aangaf om wereldwijd te opereren. De recente inbreuk werpt echter een schaduw over deze ambities. 

Een waarschuwend moment voor Indiase crypto

De hack komt bijna precies een jaar na de ineenstorting van WazirX, een andere toonaangevende Indiase beurs, die $ 230 miljoen verloor door een inbreuk die werd toegeschreven aan de Noord-Koreaanse Lazarus Group. Die aanval leidde tot de sluiting van het platform en een mislukt herstructureringsplan, waarbij tot op heden slechts $ 3 miljoen is teruggevorderd.

Hoewel het onduidelijk is of de CoinDCX-hack aan dezelfde partijen is gelinkt, zijn de overeenkomsten opmerkelijk: een inbreuk op de operationele accounts, vertraagde openbaarmaking en afhankelijkheid van Tornado Cash. Tot nu toe is geen enkele nationale groepering beschuldigd.

Een probleem van centralisatie

Hoewel CoinDCX vasthoudt aan zijn robuuste architectuur, legt het incident een aanzienlijke kwetsbaarheid bloot in de manier waarop gecentraliseerde exchanges operationele wallets beheren. De gecompromitteerde account werd uitsluitend gebruikt voor liquiditeit op een partnerplatform, maar bevatte tientallen miljoenen dollars – genoeg om geavanceerde aanvallers aan te trekken.

Een bijkomend punt van kritiek is het restrictieve crypto-opnamebeleid van CoinDCX. Gebruikers kunnen standaard geen geld opnemen. Opnames zijn alleen toegestaan ​​na interne beoordeling op basis van risicobeoordelingen. Deze gecentraliseerde controle heeft binnen de Indiase cryptogemeenschap tot discussie geleid over gebruikersautonomie en transparantie.

In een Reddit AMA in mei verdedigde Gupta dit beleid door te stellen dat het illegale geldstromen voorkomt. Hij bagatelliseerde ook de mogelijkheid van een WazirX-achtige aanval op CoinDCX, verwijzend naar beveiligingslagen, interne audits en compliance-normen. Dit recente incident heeft deze beweringen onder de loep genomen.