一笔1599万美元的账单，CoinDCX自己买了单

印度老牌交易所 CoinDCX 上周把一件事说清楚了：约 1599 万美元 USDT 的损失，源头是一个早在 2025 年 7 月就被攻破、随后被弃用的旧钱包架构。

问题出在"弃用"这两个字上。钱包虽然退役了，但原本负责把用户充值自动归集到主钱包的扫描服务停了一段时间。这段空窗期里，仍有用户往那个老地址打钱——存款一点点堆积，最后被攻击者一次性扫走。

CoinDCX 的回应很干脆：

  • 损失全部由公司承担，不摊给用户；

  • 所有受影响用户的充值已正常入账；

  • 当前在用的中心化钱包和用户钱包均未受影响；

  • 交易与提现服务全程没有中断。


换句话说，这是一次"公司掏钱、用户无感"的处理。但对行业来说，真正值得琢磨的不是赔付态度，而是废弃地址为什么还能收钱。

Tether 出手：九个地址，221 万 USDT 被拉黑

链上追赃的动作比交易所声明更快。

据 Salus 监控，Tether 已于 10 月 23 日 06:45 UTC 将 9 个与 CoinDCX 事件相关的地址列入黑名单，冻结 2,212,850.3 USDT。

时间线拉一下就很清楚：

1. 调查员 Darcy 先标记了一笔约 1599 万 USDT 的异常转账；
2. CoinDCX 联合创始人 Sumit Gupta 最初否认存在安全漏洞；
3. Salus 从储备证明地址的资金流动和 TRX 分布模式里看出不对劲，继续追问；
4. 最终 Salus 把可验证的链上证据交给 Tether，冻结随之落地。

这里有个细节值得注意：交易所的第一反应是否认，链上数据却不会说谎。储备证明地址的异动、TRX 的分散方式，这些痕迹拼起来就是一份不需要口供的证据链。Tether 作为中心化稳定币发行方，其黑名单权限再一次在实战中发挥了作用——这也让"稳定币到底该不该有冻结权"的老争论继续下去。

为什么这件事不只是"一家交易所倒霉"

把镜头拉远，CoinDCX 踩的是整个行业都存在的坑：钱包生命周期管理。

绝大多数交易所的钱包架构都经历过迭代，老地址退役是常态。但退役不等于失效——只要私钥体系还在、只要还有用户习惯性地往老地址转账，风险就一直在。自动归集服务是最后一道闸门，闸门一停，资金就在裸奔。

这类事件的共同特征是：

  • 损失金额和攻击复杂度不成正比。不是多高明的漏洞利用，而是运维空窗期的"捡漏"；

  • 用户完全无感。充值界面可能早就换了新地址，但历史记录、旧二维码、第三方支付渠道里躺着的还是老地址；

  • 追回高度依赖发行方配合。这次能冻住 221 万，是因为资产是 USDT；如果换成原生 BTC 或 ETH，基本只能看着它走。


对交易所而言，这是一堂昂贵的运维课：废弃地址要么彻底作废并公示，要么保留归集监控直到确认零流入。省掉的那点服务成本，可能就是八位数的学费。

接下来看什么

短期有三个观察点：

  • 剩余资金流向。被冻结的 221 万只占损失的一部分，剩余约 1378 万 USDT 是否还能追踪到可冻结的地址，取决于攻击者的洗币路径；

  • CoinDCX 的储备披露。公司自担损失后，储备证明的更新频率和透明度会被放大审视；

  • 监管口径。印度加密监管本就处于收紧周期，这类事件很可能成为要求交易所强化钱包审计的新论据。


更长线的问题在于：当稳定币发行方越来越频繁地扮演"链上执法者"，交易所、发行方和监管三方之间的权责边界，迟早要重新画一遍。CoinDCX 这次替用户买了单，但下一次，未必还有人愿意、也有能力兜底。