Le piratage de CoinDCX à 44 millions de dollars expliqué

Une brèche qui a secoué le secteur indien des cryptomonnaies

CoinDCX, l'une des bourses de crypto-monnaie les plus importantes d'Inde, a confirmé une faille de sécurité qui a entraîné le vol de plus de 44 millions de dollars dans les actifs numériques. 

L'exploit ciblait un portefeuille opérationnel sur le Solana Le réseau est utilisé pour l'approvisionnement en liquidités, et non pour les portefeuilles des clients. Malgré la rapidité et l'ampleur de l'attaque, l'entreprise insiste sur le fait que les fonds des utilisateurs restent intacts et entièrement sécurisés.

L'incident a d'abord été signalé non pas par l'entreprise mais par un enquêteur sur la blockchain. Zach XBT, qui a suivi les mouvements de fonds suspects et identifié le portefeuille compromis comme appartenant à CoinDCX. Sa révélation a forcé CoinDCX à réagir en quelques minutes, marquant l'un des incidents de sécurité cryptographique les plus médiatisés en Inde cette année.

Comment s'est déroulée l'attaque

Selon une société de sécurité en chaîne CyversL'attaque était bien planifiée et exécutée avec précision. Le dispositif a commencé dès le 16 juillet 2025, avec un ETH envoyé depuis Tornado Cash, un mélangeur de cryptomonnaies souvent utilisé pour masquer l'origine des fonds. Cet ETH a été déposé sur FixedFloat, retiré sur Polygon, puis transféré sur Solana, où il a été converti en SOL pour couvrir les frais de transaction.

D’après Méir DolevLe 18 juillet à 21h07 UTC, le pirate a lancé une transaction test avec seulement 1 USDT. C'est alors que l'exploit a véritablement commencé. En cinq minutes, le pirate a drainé environ 44.2 millions de dollars en USDT et USDC de l'un des portefeuilles opérationnels de CoinDCX sur Solana.

La séquence des retraits est la suivante :

• 22h09 UTC : 2 millions de dollars
• 22:10 : 7 millions de dollars
• 22:11 : 10 millions de dollars
• 22:12 : 10 millions de dollars
• 22:13 : Deux transactions distinctes de 5 millions de dollars chacune
• 22h14 : Retrait final de 5 millions de dollars

Quelques minutes plus tard, des transferts plus modestes ont suivi, dont 102,000 79,000 USDC et 15.8 XNUMX USDT. Une partie des fonds volés – XNUMX millions de dollars – a été transférée de Solana vers Ethereum, probablement pour diversifier les itinéraires et compliquer la récupération.

CoinDCX répond

La faille a été rendue publique lorsque ZachXBT a partagé ses conclusions sur Telegram, ce qui a rapidement suscité une confirmation de la part du PDG de CoinDCX, Sumit Gupta. Il a qualifié l'incident de « violation de serveur sophistiquée » ayant compromis un seul compte opérationnel utilisé auprès d'une plateforme d'échange partenaire.

Surtout, Gupta A déclaré que:

• Tous les actifs des utilisateurs sont stockés dans des portefeuilles froids
• Aucun fonds client n'a été affecté
• La plateforme continue de fonctionner normalement pour les échanges et les retraits d'INR

« L'incident a été rapidement maîtrisé en isolant le compte opérationnel concerné », a souligné Gupta. « Nos comptes opérationnels étant séparés des portefeuilles clients, l'exposition se limite à ce compte spécifique et est entièrement absorbée par nos propres réserves de trésorerie. »

Découvrez des projets prometteurs...

Des projets prometteurs...

(Publicité)

L'article continue...

Mesures de sécurité et plans de reprise en cours

CoinDCX indique avoir fait appel à des entreprises de cybersécurité pour enquêter sur la faille et retracer les mouvements des actifs volés. L'entreprise collabore avec la plateforme d'échange partenaire, dont le nom n'a pas été dévoilé, afin de geler les fonds autant que possible. Un programme de chasse aux bugs est également en cours de développement, visant à identifier les vulnérabilités avant que les attaquants ne puissent les exploiter.

Malgré la faille, CoinDCX maintient la fiabilité de ses systèmes. L'entreprise affirme depuis longtemps utiliser une architecture de sécurité multicouche. Les fonds sont répartis entre différents portefeuilles et dépositaires. 

Les rapports mensuels de preuve de réserve constituent un élément essentiel de la politique de transparence de la bourse. Un fonds d'indemnisation est également prévu pour couvrir les utilisateurs en cas d'urgence, même si, dans ce cas précis, les fonds des clients n'ont pas été affectés.

Fondée en 2018, CoinDCX a rapidement progressé pour devenir la première licorne crypto indienne en 2021, après avoir levé 90 millions de dollars pour une valorisation de 1.1 milliard de dollars. En 2022, une nouvelle levée de fonds de 135 millions de dollars a presque doublé sa valorisation, la portant à 2.15 milliards de dollars.

En juillet 2024, CoinDCX a acquis BitOasis, une société basée à Dubaï, témoignant de sa volonté de se mondialiser. Cependant, la récente faille de sécurité jette une ombre sur ces ambitions. 

Un moment de prudence pour la crypto-monnaie indienne

Le piratage survient presque exactement un an après le effondrement de WazirX, une autre importante plateforme d'échange indienne qui a perdu 230 millions de dollars suite à une faille attribuée au groupe nord-coréen Lazarus. Cette attaque a entraîné la fermeture de la plateforme et l'échec d'un plan de restructuration, avec seulement 3 millions de dollars récupérés à ce jour.

Bien qu'il soit difficile de savoir si le piratage de CoinDCX est lié aux mêmes acteurs, les similitudes sont notables : une violation de compte opérationnelle, une divulgation tardive et une dépendance à Tornado Cash. Jusqu'à présent, aucun groupe étatique n'a été mis en cause.

Un problème de centralisation

Bien que CoinDCX insiste sur la robustesse de son architecture, l'incident révèle une vulnérabilité importante dans la gestion des portefeuilles opérationnels par les plateformes d'échange centralisées. Le compte compromis était utilisé uniquement pour la liquidité sur une plateforme partenaire, mais il contenait des dizaines de millions de dollars, suffisamment pour attirer des attaquants sophistiqués.

La politique restrictive de retrait de cryptomonnaies de CoinDCX aggrave les critiques. Par défaut, les utilisateurs ne peuvent pas retirer de fonds. Les retraits ne sont autorisés qu'après un examen interne basé sur une évaluation des risques. Ce contrôle centralisé a suscité un débat au sein de la communauté crypto indienne sur l'autonomie et la transparence des utilisateurs.

Lors d'une AMA sur Reddit en mai, Gupta a défendu cette politique en affirmant qu'elle empêchait les mouvements de fonds illicites. Il a également minimisé la possibilité d'une attaque de type WazirX contre CoinDCX, invoquant des mesures de sécurité, des audits internes et des normes de conformité. Ce dernier incident a remis ces allégations en question.