CoinDCX 提供 $11M 回款悬赏以追回 $44M 漏洞损失

印度加密货币交易所 CoinDCX 提供高达 25% 的悬赏，来自 1100 万美元的资金池，奖励任何帮助追回 2025 年 7 月 19 日从内部金库流失的 4420 万美元中任何金额的人。 

正如交易所联合创始人周一在 X 上 宣布的那样，该公司已启动正式的回款悬赏计划，以追回被盗的数字资产，并识别和起诉责任人。

此次漏洞首先由区块链安全平台 Cyvers Alerts 检测到，该平台解释了黑客如何从 CoinDCX 的内部运营钱包中抽取资金。据交易所称，这些钱包据报道仅用于在合作伙伴交易所提供流动性。 

联合创始人 Sumit Gupta 和 Neeraj Khandelwal 还重申，漏洞并未影响用户资金。

黑客通过 Tornado Cash 资助攻击

根据 Cyvers Alerts 的说法，攻击者通过 Tornado Cash（一个与洗钱被盗资产相关的加密混合器）转移 1 ETH 启动了漏洞利用。在资金交易发生后不久，大约 1580 万美元的被盗加密货币通过跨链协议桥接至以太坊。

区块链安全侦探 ZachXBT 追踪到 Etherscan 上识别的目标钱包为 0xEF0c5b9E0E9643937D75C229648158584A8CD8D2。该钱包随后接收了超过 12,144 ETH，按当前每枚 3,818 美元的价格计算，相当于超过 4600 万美元。

Etherscan 数据显示，自 7 月 19 日以来，黑客的钱包至少进行了十笔以太坊交易。其中包括一笔主要转账，金额为 674.63 ETH，发生在撰写本文时约六小时前，源自地址 0xac1891c1…83eC75bEC。 

同一发送方在同一时间段内还分别进行了 10 ETH 和 7,017 ETH 的转账交易。

两天前，有 4,443 ETH 转入该钱包，可能是初始漏洞利用的一部分。同一发送方地址参与了与该钱包的多次互动，该钱包目前持有被盗资金。

截至发稿时，涉事钱包恰好持有 12,144.63 ETH，其资产档案下未列出任何其他额外代币。 

CoinDCX 透明度受到质疑

根据交易所今天早些时候发布的 声明，被利用的资金仅来自 CoinDCX 的公司金库，而非客户持仓。“风险来自我们自己的储备，我们已经通过公司金库吸收了它，”新闻稿写道。

该交易平台补充称，它已开始全面改革安全框架并重新设计其系统架构的部分内容。

“我们的钱包系统从未受到侵害，但我们仍然采取了更深入的措施，加强了安全性并重新设计了部分基础设施，以确保此类事件不再发生，”它写道。

回收计划已获得 Solana 基金会、Superteam 以及桥接合作伙伴 Wormhole 和 deBridge 的支持。

“网络犯罪是对信任的攻击。当我们中的一员受到攻击时，我们所有人都会感到痛苦，”Khandelwal 在 X 上的公开声明中说。“对我们来说重要的是识别并抓获攻击者，因为这样的事情不应该再次发生，不仅对我们，对整个行业都不应该。”

CoinDCX 赞扬了网络安全公司和区块链取证实体，包括 Sygnia、zeroShadow 和 Seal911，帮助其进行 ongoing 调查。然而，正如 ZackXBT 在其 Telegram 频道报道的那样，其品牌营销人员 Suchit Karande 正在要求 Discord 社区成员参与 Sumit Gupta 的帖子，感谢他的“透明度”。

在漏洞发生后的约 17 小时内，CoinDCX 保持沉默，在 攻击的早期窗口期内未发表任何公开评论。在此期间，ZachXBT 声称，被盗资金在多个钱包和网络之间以计算过的交易方式积极转移。

在他的 Telegram 频道上，他分享了一张 TRM Labs 的流程图，显示被盗资产被转移到了哪里。根据分析，涉及资金转移的三个地址是：基于 Solana 的钱包 6peRRbTz28xofaJPJzEkxnpcpR5xhYsQcmJHQFdP22n、比特币地址 3btch8cSVp3Uh2SiY9DeiRNYUBmFiBNHZQzDyecJs7Gu，以及最后的以太坊钱包 0xEF0c5b9E0E9643937D75C229648158584A8CD8D2。