Penyelidik blockchain menuduh bursa kripto CoinDCX dan salah satu pendirinya, Sumit Gupta, menyesatkan publik terkait perpindahan dana sekitar US$16 juta dari alamat yang diduga terkait bursa tersebut. Peringatan awal muncul dari peneliti blockchain bernama “Darcy” pada Kamis pagi, sebelum CoinDCX membantah atribusi dan menyatakan transaksi itu melibatkan alamat dompet lama yang telah dikompromikan pada Juli 2025. Sejumlah penyelidik on-chain kemudian mempertanyakan pernyataan CoinDCX, bahkan menuduh perusahaan “berbohong” soal peretasan tersebut.
Darcy temukan perpindahan US$16 juta ke alamat TRON
Darcy, peneliti blockchain yang bekerja untuk firma keamanan Salus, pertama kali menandai pergerakan mencurigakan senilai total US$16 juta pada alamat-alamat yang diduga terkait CoinDCX. Menurut cuitan Darcy, pada 21 Oktober 2026 pukul 23.35.54 UTC+8, hot wallet CoinDCX dan sejumlah alamat deposit mengirimkan sekitar 15,99 juta USDT dan 5.783,81 TRX ke alamat TRON TAg6SZ1HhgVVjUaKY1paQoFBUS2JFrg5bT. Transaksi terbesar dalam rangkaian itu mencapai 15.819.002.
CoinDCX sempat mengucapkan terima kasih kepada Darcy melalui salah satu pendirinya, Sumit Gupta. Namun, Gupta menegaskan atribusi tersebut “tidak benar” dan meminta Darcy “jangan menyebarkan rumor.” Pernyataan itu tidak meredam keraguan para penyelidik on-chain yang mengikuti pergerakan dana tersebut.
CoinDCX bantah tuduhan dan sebut klaim menyesatkan
Melalui akun resmi X, CoinDCX menyatakan bahwa transaksi yang disebut dalam klaim terbaru melibatkan alamat dompet lama yang dibuat pada Januari 2025. Menurut bursa itu, alamat-alamat tersebut dikompromikan pada Juli 2025 dan “tidak lagi digunakan oleh CoinDCX sejak saat itu.” CoinDCX juga menyebut klaim yang beredar sebagai menyesatkan.
Namun, dalam unggahan lanjutan, CoinDCX memberikan penjelasan yang tampak bertentangan dengan pernyataan awalnya. Bursa itu menyatakan pengguna tetap menyetorkan dana ke alamat yang telah dikompromikan meskipun sudah ada peringatan agar tidak melakukannya. Karena itu, CoinDCX melakukan “sweeping rutin” agar dana dapat tercatat dan diamankan dengan semestinya. Dalam pembaruan soal aktivitas on-chain dompet TQKJQ, CoinDCX mengatakan bahwa setelah insiden keamanan Juli 2025 pihaknya meminta pengguna tidak menyetor kripto ke alamat dompet yang terdampak.
CoinDCX kemudian mengakui bahwa “untuk periode tertentu, proses sweeping itu gagal.” Persoalan itu baru terungkap setelah unggahan Darcy yang menandai penarikan dana. Bursa tersebut akhirnya menyebut dana itu sebagai “sebagian kerugian operasional” dan menegaskan bahwa setoran telah dikreditkan ke akun pengguna. Meski demikian, CoinDCX tidak merinci bagaimana dana senilai US$16 juta itu tidak terhitung selama periode yang panjang. Protos telah menghubungi CoinDCX melalui email, tetapi belum menerima tanggapan hingga artikel ini diterbitkan.
Dalam konteks lebih luas, CoinDCX pernah mengalami peretasan senilai US$44 juta pada tahun sebelumnya. Insiden itu terjadi setelah laptop perusahaan seorang software engineer terkompromikan saat digunakan untuk pekerjaan sampingan.
Penyelidik on-chain meragukan versi bursa
Darcy membantah klaim bahwa dompet-dompet tersebut tidak digunakan CoinDCX. Ia menunjuk pada aktivitas distribusi gas sebelum dan sesudah peretasan Juli 2025. Darcy juga mencatat bahwa sebagian dana dikirim ke “alamat yang terkait dengan layanan penjamin pencucian uang yang dikenal,” yaitu Huione dan Xinbi, serta menambahkan, “tolong jangan menghindari masalah ini.”
Mantan spesialis keamanan MetaMask, Taylor Monahan, menilai teknik pencucian uang dalam transfer terbaru berbeda dari peretasan tahun sebelumnya. Perbedaan itu, menurutnya, mengisyaratkan pelaku yang berbeda. Penyelidik blockchain terkenal, ZachXBT, mengklaim salah satu alamat terdampak digunakan “oleh seorang LP selama 10 bulan” setelah kompromi dan mengirim dana ke “hot wallet publik Anda saat ini” pada Mei 2026.
Penyelidik pseudonim lainnya juga ikut bersuara. Tanuki42 menyoroti komunikasi CoinDCX yang saling bertentangan, sementara SomaXBT menuduh CoinDCX memindahkan US$70 juta dana seorang market maker melalui alamat yang disebut sudah tidak dipakai. SpecterAnalyst, yang sebelumnya menuduh CoinDCX dan Gupta “berbohong,” menjelaskan sinyal umum yang menunjukkan aliran dana curian: perubahan perilaku alamat yang sebelumnya mengirim dana ke hot wallet CoinDCX, lalu tiba-tiba menyapu dana “ke satu dompet, yang mulai mendistribusikan dana, menukar aset, menggunakan layanan OTC, dan lain-lain.”
Perdebatan ini menyoroti tekanan terhadap bursa kripto untuk menjelaskan pergerakan dana yang diduga berasal dari alamat lama dan telah dikompromikan. Bagi pengguna, pertanyaan utama bukan hanya berapa dana yang hilang, tetapi juga seberapa cepat dan transparan bursa menangani alamat yang sudah diketahui bermasalah. Sampai tanggapan resmi lebih rinci diberikan, klaim para penyelidik on-chain dan bantahan CoinDCX akan terus menjadi sorotan dalam industri keamanan kripto.
