CoinDCX confirma una pérdida de 15.99 millones de USDT por billeteras retiradas: qué pasó y por qué no debes reutilizar direcciones de depósito viejas

CoinDCX, el mayor exchange de criptomonedas de India por volumen de operaciones, confirmó que perdió 15.99 millones de USDT (unos 16 millones de dólares) y que la empresa absorbió la pérdida. El problema no estuvo en sus billeteras activas, sino en una infraestructura de billeteras retirada desde 2025, a la que algunos usuarios siguieron enviando depósitos. El anuncio llegó días después de que su director ejecutivo calificara de “falsa alarma” los primeros reportes. Te explicamos qué pasó y por qué nunca debes reutilizar una dirección de depósito vieja.

Qué pasó

El origen: en julio de 2025, CoinDCX sufrió un incidente de seguridad (el 19 de julio de ese año lo hizo público) que, según CoinDesk y The Block, le costó unos 44 millones de dólares. Como sus billeteras operativas de entonces quedaron expuestas, el exchange retiró toda esa infraestructura.
El nuevo incidente: según el comunicado oficial de CoinDCX, el 21 de octubre de 2026 detectó actividad inusual en sus sistemas. Al día siguiente, a partir de datos de la blockchain y de reportes de la comunidad, observó movimientos irregulares de fondos que afectaban a esa infraestructura antigua, que tenía “vulnerabilidades desconocidas”.
La falla interna: la investigación reveló que su servicio automático de sweeping (barrido de fondos) dejó de funcionar durante un periodo, y los depósitos se acumularon en una dirección retirada, identificada como TQKJQ. “Esto llevó a una pérdida de 15.99 millones de USDT que fue absorbida por la empresa”, escribió CoinDCX.
Lo que no se afectó, según el exchange: sus billeteras activas, el trading, los depósitos y los retiros siguieron operando sin pausa, y los saldos de los clientes están “completos y contabilizados”. La empresa afirma que los fondos de los usuarios están en billeteras frías segregadas.

Cómo funcionaba el proceso que falló

CoinDCX explica que, aunque pidió a sus usuarios usar las direcciones nuevas, algunos siguieron depositando por error en la dirección antigua en lugar de usar las direcciones activas que muestra su aplicación. Para no dejarlos sin recurso, el exchange operaba dos procesos separados:

1. Acreditar: en cuanto los fondos llegaban a la billetera retirada, CoinDCX los sumaba al saldo del usuario.
2. Barrer: un servicio secundario debía mover esos fondos desde la dirección retirada hacia la billetera principal del exchange.

El primer paso siguió funcionando, pero el segundo falló durante un periodo. Resultado: los usuarios vieron sus saldos acreditados, mientras el dinero real se quedaba acumulado en una dirección que ya se sabía comprometida. Cuando esos fondos se movieron de forma irregular, la pérdida recayó en la empresa. El comunicado no lo llama “hackeo” ni explica quién movió los fondos ni cómo, algo que también señaló CoinDesk.

De la “falsa alarma” a la confirmación

La alerta: según The Block, Darcy, cofundador del servicio de recuperación de activos FlashRescue, reportó que unos 15.99 millones de USDT y 5,783.81 TRX salieron de una billetera y varias direcciones de depósito vinculadas a CoinDCX hacia una sola dirección de la red Tron; la mayor transferencia fue de 15,819,002 USDT y, de ahí, los fondos se dividieron hacia direcciones de depósito en Binance, OKX y Gate.
La negación: el miércoles 21 de octubre, el director ejecutivo de CoinDCX, Sumit Gupta, respondió en X que la información era incorrecta, que las billeteras de CoinDCX no habían sido vulneradas y que aquello “suena a una falsa alarma”, porque esas direcciones estaban comprometidas desde julio de 2025. La cuenta oficial del exchange calificó los reportes de “engañosos”.
El contraste: el investigador on-chain ZachXBT respondió que al menos una de esas direcciones siguió en uso por un proveedor de liquidez durante 10 meses después del incidente de 2025 y que barrió depósitos de usuarios hacia la billetera activa del exchange todavía en abril y mayo de 2026.
La rectificación: Gupta dijo después que investigaban el caso y que ningún usuario perdería fondos. CoinDCX publicó primero que hubo “pérdidas operativas” sin dar cifra y, en su comunicado del domingo 25 de octubre, confirmó el monto. “Pudimos haber sido más proactivos”, reconoció la empresa.

La lección: nunca reutilices una dirección de depósito vieja

Este caso deja una enseñanza práctica para cualquier usuario de un exchange centralizado. Una dirección de depósito no es permanente: el exchange puede cambiarla por seguridad, por mantenimiento o, como aquí, porque la infraestructura anterior quedó expuesta. Si envías fondos a una dirección retirada, dependes por completo de que el exchange quiera y pueda recuperarlos. CoinDCX lo resume en su propio comunicado: depositar en direcciones retiradas es “muy riesgoso” y los exchanges normalmente no se hacen responsables de esos fondos.

Verifica la dirección actual antes de cada depósito. Ábrela siempre en la aplicación o el sitio oficial del exchange, aunque ya hayas depositado antes.
No copies direcciones de tu historial. Ni de transacciones anteriores, ni de capturas de pantalla, ni de notas guardadas. Los atajos son justamente lo que te lleva a una dirección obsoleta.
Cuidado con las libretas de direcciones guardadas. Si tu billetera o tu otro exchange tiene guardada una dirección de depósito, confírmala de nuevo antes de usarla.
Revisa la red correcta. Además de la dirección, confirma que la red (por ejemplo, Tron o Ethereum para USDT) coincide con la que indica el exchange.
Atiende los avisos del exchange. Si anuncia un cambio de direcciones o un incidente, actualiza tus datos guardados de inmediato.

Si quieres repasar las diferencias entre dejar tus fondos en un exchange y guardarlos en una billetera propia, en nuestra guía sobre qué es una billetera cripto y cómo elegir la tuya lo explicamos paso a paso.

Lo que todavía no se sabe

Quién movió los fondos y por qué vía, ya que CoinDCX no lo ha explicado.
Durante cuánto tiempo exacto falló el servicio de barrido y cuántos depósitos se acumularon en la dirección retirada.
Qué parte de los fondos podrá recuperarse. ZachXBT afirmó haber ayudado a congelar una cantidad de seis cifras, según The Block.

Por qué importa

El caso muestra que el riesgo de un exchange no termina cuando cierra un incidente: la infraestructura retirada también debe vigilarse, y la comunicación pública importa tanto como la técnica. Para los usuarios, la lección es simple y aplica a cualquier plataforma: la dirección correcta es la que te muestra hoy la aplicación oficial, no la que usaste la última vez.

Lectura relacionada

Fuentes

CoinDCX, “Update on the on-chain Wallet Activity – 21st October 2026” (comunicado oficial publicado el 25 de octubre de 2026, en inglés).
CoinDesk, “India’s largest crypto exchange absorbs $16 million loss from internal process failure tied to retired wallet” (26 de octubre de 2026, en inglés).
The Block, “CoinDCX confirms $16 million loss from retired wallets days after CEO called breach reports a ‘false alarm'” (25 de octubre de 2026, en inglés).

Aviso: Este contenido es informativo y no constituye asesoría financiera ni legal, ni una recomendación de inversión. Las criptomonedas son volátiles y puedes perder una parte importante o la totalidad de lo invertido; investiga por tu cuenta antes de tomar cualquier decisión.

Publicado originalmente en Medio Crypto el 2026-10-26. Este contenido es informativo y no constituye asesoría financiera.