코인DCX, 구형 주소 입금 회수 실패 후 운영 손실 자체 부담했다고 밝혀

인도 코인DCX(CoinDCX)는 10월 22일 폐기된 지갑 주소에서 입금을 회수하는 절차가 실패한 뒤 운영상 손실을 자체 부담했다고 밝혔다. 코인DCX가 또 다른 해킹을 부인한 지 몇 시간 뒤 나온 설명이다. ZachXBT는 고객 예치금 1,580만 달러가 행방불명됐다고 주장한 바 있다.

코인DCX는 영국 서머타임(BST) 오후 12시 47분 업데이트에서 일부 고객이 2025년 7월 보안 사고 이후 폐기된 주소로 계속 암호화폐를 입금했다고 밝혔다. 코인DCX는 이전에 경고했는데도 고객들이 해당 주소를 계속 사용했다고 말했다. 코인DCX는 영향을 받은 고객의 입금 지갑에 크레딧이 반영됐으며 활성 지갑은 영향을 받지 않았다고 밝혔다. 입금 회수 절차는 자금을 정기적으로 모아 코인DCX가 입금을 기록하고 안전하게 보관하도록 마련된 것이었다. 코인DCX는 10월 22일 아침 절차 실패를 발견했다고 밝혔다. 손실 규모와 절차가 실패한 기간은 공개하지 않았다.

수밋 굽타 최고경영자(CEO)는 BST 오전 9시 10분 코인DCX 지갑이 해킹당하지 않았다고 밝혔다. 굽타는 문제로 지목된 주소들이 2025년 1월에 생성됐으며 2025년 7월 사고 당시 침해됐다고 말했다. 굽타는 현재 코인DCX의 중앙 주소나 사용자 주소에서 문제로 지목된 주소로 자금이 이체된 적은 없다고 밝혔다. 코인DCX는 4분 뒤인 2025년 7월부터 해당 구형 주소를 사용하지 않았으며, 보고된 활동은 코인DCX와 관련이 없다고 밝혔다. 코인DCX는 BST 오전 9시 38분 독자들에게 굽타의 부인 입장을 확인하라고 안내했다.

ZachXBT는 BST 오전 9시 52분 이 설명에 이의를 제기했다. ZachXBT는 TQKJQ로 시작하는 입금 주소가 2025년 7월 사고 이후에도 계속 운영됐다며 그 기간을 사고 이후 "10개월 동안"이라고 표현했다. ZachXBT는 해당 주소가 고객 예치금을 코인DCX의 현재 공개 핫월렛으로 전달했고 거래 수수료를 위한 자금도 받았다고 주장했다. 굽타는 BST 오전 10시 59분 해당 주장을 알고 있으며 추가 조사가 진행 중이라고 답했다. 굽타는 고객들이 자금을 잃지는 않을 것이라고 말했다.

TronGrid 이벤트 데이터와 TronScan 거래 기록을 검토한 결과, TQKJQ로 시작하는 주소에서 15,819,002 USDT가 한 차례 성공적으로 이체된 사실이 확인됐다. 자금은 10월 21일 BST 오후 4시 35분 54초에 다른 TRON 주소로 이동했다. 이 거래는 토큰이 이동했다는 사실을 입증하지만, 어느 쪽 주소를 누가 통제했는지 또는 고객 손실이 발생했는지는 확인해 주지 않는다. 코인DCX는 이후 업데이트에서 고객 자산이 분리된 콜드월렛에 보관됐으며 거래는 정상적으로 이뤄지고 있다고 밝혔다.

폐기된 주소들은 2025년 7월 사고와 관련돼 있었다. 보안업체 사이버스(Cyvers)는 약 4,400만 달러 규모의 이 사고를 라자루스 그룹과 연관 지었다. 코인DCX는 회사 재무부가 해당 손실을 부담했다고 밝혔다. 굽타는 7월 31일 내놓은 잠정 설명에서 사회공학을 사고 원인으로 꼽았다.