CoinDCX Bantah Diretas, tetapi Aliran US$16 Juta dari Dompet Lama Picu Perdebatan
Baca dalam 60 detik
- CoinDCX menegaskan tidak ada peretasan baru dan menyalahkan aktivitas mencurigakan pada alamat dompet lama yang sudah dinonaktifkan.
- Investigasi on-chain ZachXBT menemukan salah satu alamat yang disebut pensiun masih menerima setoran pengguna hingga Mei 2026.
- Kasus ini menguji kredibilitas prosedur sweeping exchange dan menambah tekanan regulasi pada bursa kripto besar di Asia.
Bursa kripto terbesar India, CoinDCX, membantah laporan bahwa dompet aktifnya diretas setelah seorang pengamat blockchain menandai aliran keluar mencurigakan senilai sekitar US$16 juta dari alamat yang terkait dengan platform tersebut. Insiden ini menjadi ujian baru bagi industri kripto Asia yang masih bergulat dengan standar keamanan pasca-peretasan besar.
Menurut juru bicara CoinDCX, transaksi yang dipersoalkan berasal dari alamat dompet lama yang dibuat pada Januari 2025 dan telah dikompromikan pada Juli 2025. Perusahaan menegaskan alamat tersebut tidak lagi digunakan sejak insiden tahun lalu. “Alamat pusat dan pengguna CoinDCX saat ini tidak terdampak, dan tidak ada dana CoinDCX dari dompet aktif yang dikompromikan,” ujarnya kepada CoinDesk.
Pemicunya adalah unggahan pengguna X bernama Darcy pada Rabu lalu yang menyoroti arus keluar besar dari hot wallet CoinDCX dan sejumlah alamat deposit. Dana yang mengalir mencapai sekitar US$16 juta dalam bentuk USDT dan token TRX milik jaringan Tron. Seluruh dana dikirim ke satu alamat Tron, dengan transaksi terbesar mencapai 15.819.002 USDT, sebelum dipecah ke beberapa dompet lain. Darcy menandai ini sebagai dugaan pencurian, memicu kekhawatiran peretasan baru—terutama karena CoinDCX pernah dieksploitasi sekitar US$44 juta pada Juli 2025.
CEO CoinDCX Sumit Gupta melalui X menyebut insiden ini sebagai alarm palsu. Ia menduga para peretas dari Juli 2025 masih menggunakan alamat dompet lama tersebut. Posisi perusahaan jelas: alamat-alamat itu telah ditinggalkan setelah peretasan, dan pihak yang masih menggunakannya adalah pelaku kejahatan.
Namun, klaim itu dibantah oleh ZachXBT, investigator on-chain yang dikenal luas. Ia menyatakan setidaknya satu alamat berlabel TQKJQ masih digunakan oleh penyedia likuiditas (LP) selama sepuluh bulan setelah insiden Juli 2025. Alamat itu bahkan masih menyapu setoran pengguna dan menerima gas hingga April dan Mei 2026 ke hot wallet publik CoinDCX yang sekarang. Artinya, alamat yang disebut pensiun tetap mengumpulkan dana pelanggan dan meneruskannya ke dompet aktif bursa pada musim semi tahun ini.
“Meskipun kami telah mengirimkan notifikasi sebelumnya, sebagian pengguna tetap menyetor dana ke alamat deposit yang sudah tidak berlaku, bukan ke alamat terbaru,” kata juru bicara CoinDCX.
CoinDCX mengakui proses sweeping—pemindahan otomatis setoran pengguna ke dompet utama—sempat gagal untuk sementara waktu. Perusahaan menyatakan telah mengkreditkan seluruh pengguna yang terdampak, dan menegaskan aset pelanggan tersimpan di cold wallet. Aktivitas perdagangan berjalan normal. Meski demikian, pengakuan itu memunculkan pertanyaan tentang seberapa ketat pengawasan dompet yang telah dinyatakan pensiun.
Dalam konteks Indonesia, dinamika ini relevan bagi regulator dan pelaku pasar kripto domestik. Bursa lokal yang tumbuh cepat perlu memastikan prosedur sweeping dan pengelolaan alamat deposit tidak meninggalkan celah yang bisa dieksploitasi. Otoritas seperti Bappebti dan calon regulator aset kripto di bawah OJK dapat mengambil pelajaran dari kasus CoinDCX: transparansi alamat on-chain bukan sekadar soal keamanan teknis, tetapi juga menyangkut kepercayaan publik terhadap industri yang sedang menuju pengawasan lebih ketat.
Ke depan, mata akan tertuju pada hasil audit independen dan langkah CoinDCX memperbaiki tata kelola dompetnya. Jika investigator on-chain terus menemukan bukti bahwa alamat lama masih berfungsi, tekanan terhadap bursa—baik dari regulator India maupun komunitas global—akan meningkat. Pertanyaannya, akankah industri kripto Asia mengadopsi standar pengelolaan alamat yang lebih ketat sebelum insiden serupa terulang?
