CoinDCX offre una bounty di recupero di $11M per un exploit di $44M

Lo scambio di criptovalute indiano CoinDCX offre una bounty fino al 25%, da un pool di 11 milioni di dollari, a chiunque aiuti a recuperare qualsiasi importo del deflusso di 44,2 milioni di dollari dal suo tesoro interno il 19 luglio 2025. 

Come annunciato dai co-fondatori dello scambio su X lunedì, l'azienda ha lanciato un programma formale di Bounty per il Recupero per recuperare le attività digitali rubate, oltre a identificare e perseguire i responsabili.

La violazione è stata rilevata per la prima volta dalla piattaforma di sicurezza blockchain Cyvers Alerts, che ha spiegato come l'hacker abbia sifonato i fondi dai portafogli operativi interni di CoinDCX. Secondo lo scambio, questi portafogli sarebbero stati utilizzati solo per la fornitura di liquidità su uno scambio partner. 

I co-fondatori Sumit Gupta e Neeraj Khandelwal hanno anche ribadito che l'exploit non ha interessato i fondi degli utenti.

L'attacco dell'hacker finanziato tramite Tornado Cash

Secondo Cyvers Alerts, l'attaccante ha avviato l'exploit trasferendo 1 ETH attraverso Tornado Cash, un mixer di criptovalute collegato al riciclaggio di attività rubate. Poco dopo la transazione di finanziamento, circa 15,8 milioni di dollari delle criptovalute rubate sono stati trasferiti su Ethereum attraverso protocolli cross-chain.

L'analista di sicurezza blockchain ZachXBT ha tracciato il portafoglio di destinazione identificato su Etherscan come 0xEF0c5b9E0E9643937D75C229648158584A8CD8D2. Questo portafoglio ha da allora ricevuto oltre 12.144 ETH, equivalenti a più di 46 milioni di dollari al prezzo attuale di 3.818 dollari per moneta.

I dati di Etherscan rivelano che il portafoglio dell'hacker ha effettuato almeno dieci transazioni Ethereum dal 19 luglio. Tra queste, un trasferimento importante di 674,63 ETH è avvenuto circa sei ore prima dell'ora di redazione, originato dall'indirizzo 0xac1891c1…83eC75bEC. 

Lo stesso mittente ha anche trasferito 10 ETH e 7.017 ETH in transazioni separate nello stesso lasso di tempo.

4.443 ETH sono stati trasferiti al portafoglio due giorni fa, probabilmente come parte dell'exploit iniziale. Lo stesso indirizzo del mittente è stato coinvolto in diverse interazioni con il portafoglio che detiene ora i fondi rubati.

Al momento della stampa, il portafoglio in questione detiene esattamente 12.144,63 ETH, e nessun altro token aggiuntivo è elencato nel suo profilo delle attività. 

Messa in discussione della trasparenza di CoinDCX

Secondo una dichiarazione rilasciata dallo scambio earlier today, i fondi sfruttati provenivano esclusivamente dal tesoro aziendale di CoinDCX e non dalle partecipazioni dei clienti. "L'esposizione proveniva dalle nostre riserve, e l'abbiamo già assorbita attraverso il nostro tesoro aziendale", recitava il comunicato stampa.

La piattaforma di trading ha aggiunto di aver iniziato a rivoluzionare i framework di sicurezza e a ri-ingegnerizzare parti della sua architettura di sistema.

"I nostri sistemi di portafoglio non sono mai stati compromessi, ma siamo comunque andati oltre, rafforzando la sicurezza e ridisegnando parti della nostra infrastruttura per assicurarci che non accada mai più", ha scritto.

L'iniziativa di recupero ha ricevuto il supporto della Solana Foundation, Superteam e dei partner bridge Wormhole e deBridge.

"Il cybercrimine è un attacco alla fiducia. E quando uno di noi viene preso di mira, tutti lo sentiamo", ha detto Khandelwal nel suo discorso pubblico su X. "Ciò che è importante per noi è identificare e catturare gli attaccanti, perché queste cose non dovrebbero accadere di nuovo, né con noi, né con chiunque altro nel settore.”

CoinDCX ha elogiato le società di cybersecurity e le entità di forensics blockchain, tra cui Sygnia, zeroShadow e Seal911, per aver aiutato nelle sue indagini in corso. Tuttavia, come riportato da ZackXBT sul suo canale Telegram, il suo marketer del brand, Suchit Karande, stava chiedendo ai membri della community su Discord di interagire con il post di Sumit Gupta ringraziandolo per la "trasparenza".

CoinDCX è rimasto in silenzio per circa 17 ore dopo l'exploit e non ha fornito commenti pubblici durante la fase iniziale dell'attacco. In quel lasso di tempo, secondo ZachXBT, i fondi rubati sono stati attivamente spostati tra diversi portafogli e reti in transazioni calcolate.

Sul suo canale Telegram, ha condiviso un diagramma di flusso di TRM Labs su dove sono stati spostati gli asset rubati. Secondo l'analisi, c'erano tre indirizzi coinvolti nello spostamento dei fondi: il portafoglio basato su Solana 6peRRbTz28xofaJPJzEkxnpcpR5xhYsQcmJHQFdP22n, l'indirizzo Bitcoin 3btch8cSVp3Uh2SiY9DeiRNYUBmFiBNHZQzDyecJs7Gu e, infine, il portafoglio Ethereum 0xEF0c5b9E0E9643937D75C229648158584A8CD8D2.