Um ano após um ataque de US$ 230 milhões derrubar a exchange de criptomoedas indiana WazirX, outra exchange indiana proeminente, a CoinDCX, perdeu cerca de US$ 44 milhões em um grande ataque.

O ataque ocorreu no início da manhã de sábado na Índia e foi identificado pela primeira vez pelo detetive de blockchain ZachXBT cerca de 17 horas após o início. ZachXBT sinalizou a violação para seus seguidores depois de identificar manualmente a carteira afetada como pertencente à CoinDCX. "O endereço do invasor foi financiado com 1 ETH do Tornado Cash e, posteriormente, transferiu uma parte dos fundos roubados de Solana para Ethereum", escreveu ZachXBT.

Em 10 minutos após a postagem de ZachXBT, o CEO da CoinDCX, Sumit Gupta, confirmou o ataque em uma postagem no X, culpando uma "violação sofisticada do servidor" que comprometeu uma conta usada para provisionamento de liquidez em uma exchange parceira. Nenhum fundo de cliente foi afetado, disse Gupta, prometendo que a exchange cobriria a perda de suas próprias reservas do tesouro.

"Estamos colaborando com o parceiro de exchange para bloquear e recuperar ativos, incluindo o lançamento de um programa de recompensas por bugs em breve", escreveu Gupta. "Confirmo que as carteiras da CoinDCX usadas para armazenar ativos de clientes não foram afetadas e estão completamente seguras."

O ataque ocorreu cerca de um ano depois que um ataque massivo de US$ 230 milhões derrubou a WazirX, anteriormente a maior exchange de criptomoedas da Índia, em 18 de julho de 2024. A exchange parou de operar após o ataque e, no mês passado, um tribunal de Singapura rejeitou seu plano de reestruturação proposto. Investigadores on-chain acabaram apontando o Lazarus Group, patrocinado pelo estado da Coreia do Norte, como o responsável pelo ataque; atualmente, não está claro se o mesmo grupo está por trás do ataque da CoinDCX.

A CoinDCX se tornou o primeiro unicórnio de criptomoedas da Índia em 2021, depois de arrecadar US$ 90 milhões com uma avaliação de US$ 1,1 bilhão; no ano seguinte, arrecadou outros US$ 135 milhões, quase dobrando sua avaliação para US$ 2,15 bilhões, informou The Block anteriormente. A CoinDCX adquiriu a plataforma BitOasis, com sede em Dubai, em julho de 2024, preparando o terreno para seus planos de expansão internacional.

A CoinDCX enfrentou reclamações de clientes no passado devido à sua postura restrita em relação aos saques de criptomoedas: os usuários não têm permissão para sacar criptomoedas da exchange por padrão, mas podem receber essa capacidade após uma análise interna da equipe da CoinDCX.

"Os saques de criptomoedas não são habilitados por padrão, pois podem representar um risco de movimentação ilícita de fundos", escreveu Gupta em maio como parte de uma sessão de perguntas e respostas no Reddit. "No entanto, habilitamos esse recurso para usuários que atendem aos nossos critérios internos de avaliação de risco e due diligence aprimorada, de acordo com nossa política de risco."

Quando perguntado sobre o ataque da WazirX no Reddit, Gupta disse que estava confiante de que um incidente semelhante não aconteceria na CoinDCX. Gupta apontou para a "estrutura robusta e multicamadas da CoinDCX para proteger ativos de criptomoedas" com fundos distribuídos em várias carteiras e custodiantes, um fundo criado para compensar os usuários em caso de violação, os relatórios mensais de prova de reserva da empresa e suas medidas de segurança e conformidade regulatória como razões pelas quais sua exchange está protegida contra um grande ataque.

O fundo destinado a compensar os usuários em caso de violação tem cerca de US$ 7 milhões, de acordo com a postagem mais recente da CoinDCX sobre prova de reservas. A exchange disse que suas participações totais foram avaliadas em US$ 584,2 milhões, com quase 20 milhões de usuários registrados, em junho.