Portefeuilles Oubliés CoinDCX : 16 Millions Disparus

Imaginez un vieux compte bancaire que vous pensiez fermé depuis des mois. Vous y envoyez encore de l’argent par habitude, et la banque crédite votre nouveau compte sans broncher. Sauf qu’un jour, les fonds accumulés dans l’ancien coffre-fort disparaissent sans laisser de trace. C’est exactement ce qui s’est produit chez CoinDCX en octobre 2026. Des adresses de dépôt déclarées obsolètes après une brèche de 2025 ont continué à recevoir des millions de dollars en USDT. L’échange les a crédités à ses clients, puis un service automatisé censé les récupérer a simplement cessé de fonctionner. Résultat : 15,99 millions de dollars évaporés, absorbés par l’entreprise elle-même.

Comment des adresses retirées ont continué à accueillir des fortunes

Une adresse blockchain ne meurt jamais vraiment. Même si une plateforme décide de ne plus l’afficher dans son application, n’importe qui peut encore y envoyer des tokens. Les clients de CoinDCX l’ont prouvé. Après l’incident de juillet 2025, l’échange indien avait remplacé son infrastructure compromise et demandé à tout le monde d’utiliser de nouvelles adresses. Pourtant, certains utilisateurs ont gardé les anciennes dans leurs formulaires de retrait, dans leurs notes ou dans des scripts automatisés. Les dépôts continuaient d’arriver.

La société a choisi une approche pragmatique. Dès qu’un transfert touchait une adresse dépréciée, le solde du client était crédité immédiatement. Un service de balayage automatisé devait ensuite déplacer les cryptomonnaies vers des portefeuilles plus sécurisés. Sur le papier, le client ne perdait jamais d’argent. Dans la réalité, l’échange prenait le risque de gérer des actifs encore exposés dans une zone considérée comme dangereuse.

Ce choix révèle une tension fondamentale dans la gestion des dépôts. Refuser de reconnaître un envoi vers une ancienne adresse aurait pu faire croire au client que son argent avait disparu. L’accepter, c’était s’engager à surveiller et à récupérer chaque token. Tant que le balayage fonctionnait, le système tenait. Dès qu’il a flanché, la faille est devenue béante.

Le service de balayage qui s’est arrêté sans prévenir

CoinDCX a reconnu que son système de transfert automatique a cessé de fonctionner « pendant une période particulière ». Aucune date précise n’a été donnée. Aucune indication sur la durée exacte, sur le nombre d’alertes déclenchées ou sur les raisons pour lesquelles un solde aussi important n’a pas attiré l’attention plus tôt. Ces zones d’ombre rendent l’analyse délicate.

Les investigations on-chain menées par des analystes indépendants ont permis de dresser un portrait plus net. Quarante adresses TRON ont été touchées. Une seule d’entre elles concentrait environ 15,82 millions d’USDT, issus de 88 dépôts réalisés par un unique utilisateur. Ces fonds n’avaient pas bougé depuis mars. Si cette attribution est exacte, les tokens sont restés exposés pendant des mois, bien plus longtemps qu’un simple délai technique.

Sur le réseau TRON, déplacer de l’USDT nécessite de petites quantités de TRX pour payer les frais. Les analyses ont repéré des rechargements réguliers de ces frais sur les adresses concernées, suivis de transferts classiques, y compris le 21 octobre. Ces mouvements contredisent l’idée d’adresses purement abandonnées. Quelqu’un, ou quelque chose, intervenait encore pour les maintenir opérationnelles.

L’échange affirme avoir détecté une activité inhabituelle dans ses systèmes le 21 octobre, puis des mouvements irréguliers le lendemain. Des signalements de la communauté ont accéléré l’enquête interne. Des contrôles immédiats ont été mis en place pour protéger les portefeuilles actifs et l’infrastructure de trading. Le 25 octobre, la société a officiellement confirmé la perte de 15,99 millions d’USDT.

Solde client et solde blockchain : deux réalités distinctes

La plupart des utilisateurs d’échanges ne voient jamais une adresse blockchain spécifique associée à leur compte. Ils consultent un solde dans l’application. CoinDCX a appliqué cette logique aux anciennes adresses : crédit immédiat, puis transfert interne. Quand les tokens ont disparu des portefeuilles dépréciés, la société a déclaré avoir comblé le trou avec ses propres ressources. Les soldes affichés des clients, les portefeuilles actifs et les opérations de trading n’auraient pas été impactés.

Cette distinction est essentielle. Un client peut retirer normalement tandis que l’entreprise supporte une perte opérationnelle. Pourtant, une affirmation de ce type mérite d’être vérifiée par des données de réserves, des attestations datées et le comportement réel des retraits. Un observateur extérieur ne peut pas auditer l’intégralité du grand livre interne simplement en regardant les adresses vidées.

CoinDCX avait annoncé en 2024 un fonds de protection des clients doté d’environ 6 millions de dollars. La perte d’octobre 2026 dépasse largement cette enveloppe initiale. L’entreprise assure avoir absorbé le manque à gagner, sans préciser si les fonds provenaient de sa trésorerie courante, d’une réserve dédiée, d’une assurance ou de récupérations futures. La transparence sur ce point reste limitée.

Ce que le traçage blockchain révèle… et ce qu’il cache

Environ 9,63 millions d’USDT ont été suivis jusqu’à des adresses associées à d’autres plateformes d’échange dans les dix-huit heures suivant le transfert principal. Ces destinations offrent des pistes pour d’éventuelles demandes d’information, mais elles ne prouvent pas que ces plateformes ont participé au détournement ou qu’elles détiennent encore les fonds. Les étiquettes d’adresses peuvent évoluer.

Tether a gelé environ 2,21 millions d’USDT répartis sur neuf portefeuilles dès le 22 octobre. Un gel empêche ces tokens de circuler, mais il ne constitue pas un remboursement automatique. La restitution dépend de procédures légales, de la coopération de l’émetteur et de la confirmation de la propriété. Aucune annonce officielle n’indique pour l’instant que ces montants ont été récupérés par CoinDCX.

Le registre public montre la taille et le chemin des transactions bien plus facilement que la méthode de compromission. L’identité de l’acteur et la façon dont il a obtenu les clés restent inconnues.

CoinDCX a parlé de vulnérabilités inconnues dans son infrastructure dépréciée. Elle n’a pas précisé si la perte d’octobre découlait de clés exposées en 2025, d’une nouvelle faille d’accès ou d’une autre voie. Les analyses on-chain confirment qu’il est impossible, à partir des seules données de chaîne, de déterminer comment l’opérateur des transferts a obtenu les moyens d’agir.

Deux incidents distincts, une même infrastructure à risque

L’épisode de juillet 2025 avait coûté environ 44 millions de dollars à CoinDCX. Il concernait un compte opérationnel interne utilisé pour la provision de liquidité sur une plateforme partenaire. L’échange avait affirmé que les actifs clients en cold wallets séparés n’avaient pas été touchés et qu’il avait couvert l’exposition avec sa propre trésorerie. Le nouvel incident d’octobre 2026 est différent : il porte sur des dépôts arrivant dans des adresses retirées après la première brèche.

Le lien existe pourtant. CoinDCX elle-même reconnaît que l’ancienne infrastructure avait été compromise. Continuer à y récupérer des dépôts exigeait une surveillance particulièrement stricte et un mouvement rapide des fonds. Le fait que tant d’argent soit resté exposé longtemps après la reconnaissance du danger pose une question opérationnelle simple : pourquoi le risque n’a-t-il pas été traité plus agressivement ?

En 2025, la société avait évoqué une refonte de sécurité et la séparation des portefeuilles clients des comptes opérationnels. La deuxième affaire montre que isoler la garde principale ne suffit pas. Les dépôts transitent par des adresses et des services automatisés avant d’atteindre cette garde. Une ancienne voie d’entrée peut générer une perte même si les cold wallets principaux restent intacts.

Pourquoi la première réaction de l’échange a compté

Lorsque les transferts ont commencé à circuler parmi les enquêteurs, CoinDCX a d’abord déclaré que ses portefeuilles actuels n’étaient pas compromis et a suggéré que les anciennes adresses pouvaient générer une fausse alerte. Cette réponse traitait une partie de l’inquiétude – l’infrastructure active principale – mais n’expliquait pas pourquoi des fonds situés dans les anciennes adresses semblaient avoir été emportés.

Le 25 octobre, la société a reconnu une perte réelle et un processus de balayage défaillant. Elle a également admis qu’elle aurait pu communiquer de manière plus proactive. Enquêter sur un mouvement blockchain demande du temps, surtout lorsqu’il faut croiser étiquettes d’adresses et soldes internes. Il reste possible de dire clairement ce que l’on sait et ce que l’on ignore sans présenter une attribution non vérifiée comme une conclusion définitive.

L’écart entre la première déclaration et le compte-rendu ultérieur a laissé place à des discussions entre clients et investigateurs indépendants sur le statut réel de l’ancien système. Était-il vraiment inactif de façon significative ? La réponse officielle a finalement tranché : non, un processus continuait de gérer les dépôts qui y arrivaient.

Retirer une adresse demande plus qu’un changement d’interface

Une plateforme peut cesser d’afficher une ancienne adresse de dépôt. Elle ne peut pas l’effacer de la blockchain ni forcer les formulaires sauvegardés des utilisateurs à l’oublier. Elle doit donc choisir : surveiller et récupérer les dépôts tardifs, refuser le crédit lorsque c’est possible, ou avertir clairement que la récupération n’est plus garantie. Chaque option a un coût.

L’approche de CoinDCX a séparé les tâches : crédit d’abord, balayage ensuite. L’incident d’octobre montre ce qui se produit lorsque la seconde étape s’arrête en silence. L’affaire dépasse la simple compromission d’une clé. Elle met en lumière un décalage entre le moment où le client voit son argent arriver et le moment où l’échange déplace réellement l’actif hors d’une zone vulnérable.

Le coût final pour CoinDCX pourrait évoluer si des actifs sont récupérés. Pour l’instant, la société a déclaré une perte de 15,99 millions d’USDT sans annoncer de récupération dans ses communications. Pour les clients, les questions décisives restent simples : les soldes crédités peuvent-ils être retirés normalement ? Les futurs dépôts utilisent-ils les adresses actuelles ? Le trou de surveillance a-t-il été refermé ?

Ce que les utilisateurs doivent retenir concrètement

La leçon la plus immédiate concerne les instructions de paiement sauvegardées. Sur une chaîne publique, l’expéditeur peut toujours diffuser une transaction vers une ancienne destination. Le réseau n’a aucune idée de ce que l’application de l’échange recommande aujourd’hui. CoinDCX indique que le support des adresses dépréciées est temporaire. Si ce support s’arrête un jour, le traitement d’un dépôt accidentel ultérieur pourrait changer.

Avant chaque transfert, la seule adresse fiable est celle affichée dans l’application au moment de l’envoi, avec vérification de l’actif et du réseau. Un copier-coller d’une note datant de plusieurs mois reste un risque permanent, même si l’échange a longtemps rattrapé les dépôts manqués.

Pour le marché plus large, l’événement rappelle qu’une adresse « retirée » peut encore remplir une fonction réelle. Tant que des fonds y arrivent et qu’un processus automatisé est chargé de les sauver, le retrait n’est que partiel. La surveillance, les alertes et la capacité d’intervention rapide deviennent aussi critiques que le changement d’interface utilisateur.

Une perte absorbée ne signifie pas une faille sans conséquence

CoinDCX affirme que les clients n’ont subi aucun débit direct et que les opérations ont continué normalement. Ces éléments comptent pour l’expérience immédiate des utilisateurs. Ils ne remplacent pas un audit complet des actifs et des passifs. Une déclaration d’absorption de la perte, appuyée par des attestations actualisées et la capacité réelle de satisfaire les retraits, rendrait la conclusion plus solide.

Les régulateurs peuvent également avoir des exigences de reporting, même si aucune action confirmée concernant les transferts d’octobre n’apparaissait dans les informations publiques au moment de la rédaction. La répétition d’incidents liés à la même infrastructure historique, même par des mécanismes différents, attire naturellement l’attention sur la robustesse des processus de migration et de surveillance.

Dans le monde des échanges centralisés, la confiance repose autant sur la capacité à reconnaître une erreur que sur la promesse de ne jamais en commettre. Ici, l’entreprise a fini par admettre une perte réelle après une première phase de minimisation. Cette trajectoire de communication influence la perception autant que le montant lui-même.

Perspectives et interrogations ouvertes

Plusieurs éléments restent à clarifier. Quelle a été la durée exacte de la panne du balayage ? Quand les alertes ont-elles réellement sonné ? Combien de clients ont été concernés par ces dépôts tardifs ? Comment les fonds de remplacement ont-ils été mobilisés ? Les 2,21 millions gelés par Tether finiront-ils par revenir ? Et surtout, quelle mesure technique a permis à quelqu’un de déplacer les tokens hors des adresses dépréciées ?

Ces questions dépassent le simple récit d’un incident. Elles touchent à la façon dont les plateformes gèrent le cycle de vie complet d’une adresse de dépôt, de sa création à sa mise hors service effective. Elles concernent aussi la relation entre le crédit comptable immédiat et la sécurisation physique des actifs sur la chaîne.

Pour l’instant, le bilan public s’établit ainsi : une perte de 15,99 millions d’USDT reconnue, absorbée par l’entreprise, sans impact déclaré sur les soldes clients, avec une partie des fonds gelée et une autre partie tracée vers d’autres plateformes. Le reste appartient encore aux enquêtes techniques et, potentiellement, aux procédures de récupération.

Les utilisateurs, de leur côté, disposent d’un rappel concret. Une adresse blockchain n’expire pas. Un service automatisé peut s’arrêter. La seule protection fiable reste la vérification systématique de l’adresse affichée au moment de chaque dépôt. Tout le reste relève de la confiance placée dans les processus internes d’une plateforme, et cette confiance, comme le montre cet épisode, peut parfois être mise à l’épreuve de façon inattendue.

L’histoire de ces portefeuilles oubliés qui continuaient à travailler en silence illustre parfaitement la complexité de la garde d’actifs numériques à grande échelle. Entre le moment où un client appuie sur « envoyer » et celui où l’échange sécurise réellement les tokens, de multiples étapes techniques et organisationnelles s’intercalent. Chacune d’elles représente un point de vigilance. Lorsque l’une d’elles faiblit sans être détectée rapidement, le coût peut se chiffrer en millions, même si les clients eux-mêmes ne voient jamais leur solde diminuer.

Cette affaire restera sans doute un cas d’école pour les équipes de sécurité et d’opérations des échanges. Elle montre qu’il ne suffit pas de déclarer une infrastructure « retirée ». Il faut aussi s’assurer que tout processus encore lié à cette infrastructure fonctionne parfaitement, ou alors décider de manière claire et transparente d’arrêter définitivement de traiter les dépôts qui y arrivent. Entre ces deux options, le silence opérationnel s’avère être le pire des choix.