ZachXBT, CoinDCX의 미설명 입금 1,580만 달러 의심 지적

ZachXBT, CoinDCX의 미설명 입금 1,580만 달러 의심 지적

온체인 조사가 ZachXBT가 인도 암호화폐 거래소 CoinDCX에 약 1,580만 달러 규모의 사용자 입금이 회계적으로 설명되지 않고 있다고 공개 지적했다. 주장의 근거는 X에 목요일 게시된 글에 담겼다(관련 게시물). 그가 문제 삼은 것은 TQKJQ로 시작하는 TRON 입금 주소다. 그의 분석에 따르면 이 주소는 2025년 7월 보안 사고 이후 유동성 공급자가 약 10개월간 계속 운영한 것으로 나타난다. 거래 내역을 읽어 보면 이 주소는 사용자 입금을 CoinDCX의 현재 공개 핫 지갑으로 태그된 주소에 계속 모아 넣었고, 거래 수수료를 충당하는 자금도 받아냈다. 그가 공개한 Arkham Intelligence 데이터에는 2026년 10월 21일자 약 15,819,002 USDT 전송이 기록되어 있으며, 그 외에 2026년 4월과 5월에 CoinDCX 핫 지갑으로 표시된 주소들로 향하는 더 작은 규모의 전송들도 있다. 그가 인용한 온체인 기록은 현재의 핫 지왑이 침해된 주소에 2026년 4월까지 가스비를 보내고 있었음도 보여준다. 그의 핵심 요구는 좁다. 분쟁 대상 입금이 어떻게 처리됐는지 거래소가 설명하라는 것이다. 해당 자산은 투명한 준비금 증명에 한 번도 나타난 적이 없기 때문이다. 지적된 자산은 TRON 네트워크 위의 USDT로, 2025년 자금세탁 경로에서 확인된 것과 동일한 자산·체인 조합이다.

@zachxbt · X 게시물

관련 게시물.

X에서 보기

CoinDCX, 새 해킹 주장 부인

CoinDCX는 수 시간 내에 반박에 나섰다. 공식 성명에서 회사는 지적된 주소들이 2025년 1월에 생성됐고, 2025년 7월 공격으로 침해됐으며, 이후 거래소가 사용한 적이 없다고 밝혔다. 공동창업자이자 최고경영자인 Sumit Gupta는 해커가 오래된 지갑 주소를 재사용하고 있는 것으로 보인다며 이번 건을 오탐 가능성으로 규정했다. 그는 분석 플랫폼이 여전히 구 주소들을 CoinDCX로 태그하고 있어, 현재 운영에 아무 일도 없었음에도 공격자의 재사용이 새로운 침해처럼 보일 수 있다고 덧붙였다. 회사 성명은 운영 지갑이나 고객 위탁 주소에서 분쟁 구주소로 자금이 보내진 적이 없으며, 사용자 자산은 안전하고 거래 서비스는 정상 작동 중이라고도 주장했다. Gupta는 조사가와 별도로 직접 답하기도 했다. “그 사안을 인지하고 있다”는 팀이 “추가 조사 중”이며 업데이트를 곧 공유할 것이라고 했고, “사용자 자금에 손실이 발생하지 않을 것”이라고 안내했다. 다만 회사는 아직 10월 21일 움직임에 대한 지갑별 결산을 공개하지 않았고, 이것이 바로 조사가가 요구하는 공개다.

@CoinDCX · X 게시물

공식 성명.

X에서 보기

10월 21일 전송 경로

논쟁은 수요일 10월 21일 늦은 밤의 온체인 움직임에서 시작됐다. 자산 회수 플랫폼 FlashRescue의 공동창업자 Darcy는 CoinDCX 소유로 표시된 주소들에서 약 1,599만 달러 상당의 USDT와 5,783.81 TRX가 빠져나갔다고 지적했다. 단일 최대 이동은 약 1,582만 USDT였다. 자금은 중개 주소에 먼저 도착했고 그 주소는 이후 비워졌으며, USDT의 일부는 Binance 핫 지갑과 OKX, Gate에도 닿았다. Darcy는 CoinDCX의 최신 준비금 증명에 실린 두 주소가 지적된 TRON 주소로 자금을 보낸 적이 있다고 추가로 주장했다. 이 배경에는 검증된 손실이 있다. 2025년 7월 19일 토요일, 거래소는 유동성 관리에 쓰이던 운영 계정을 통해 약 4,400만 달러를 유출당했다. 당시 고객 지갑은 손대지 않았고 손실은 회사 준비금으로 흡수됐으며, 도난 자산 회수를 위해 최대 1,100만 달러의 버그 바운티 프로그램이 열렸다. 지난 24시간 거래소 추적 데이터로 보면 CoinDCX의 일일 거래량은 약 115만 달러에 불과하고, 가장 활발한 편어는 법정화폐 대비 USDT다.

동결 가능한 자금, 남은 질문

COINOTAG의 판단은 이렇다. 온체인 증거는 2025년 사고를 확정하지만 2026년 분쟁은 열어둔다. 2025년 7월 공격자 거래 기록은 침해된 운영 계정을 근본 원인으로 가리키며, 팀 자체의 당시 사후 분석도 4,400만 달러 손실을 회사 준비금으로 돌리고 버그 바운티를 보완책으로 삼았다. 아직 입증되지 않은 것은 오늘의 고객 손실이다. 표시된 주소에서 나온 대규모 전송만으로 새 해킹의 증거가 되지는 않으며, 1,580만 달러라는 수치는 절도로 독립 확인된 바 없다. 이동한 자금의 대부분이 중앙화 거래소에 보관 중인 USDT이기 때문에, Tether나 자금을 받은 거래소들이 동결에 나설 수는 있다. 다만 CoinDCX가 손실을 공식 확인해야만 가능하다. 회사가 지갑별 결산을 공개하기 전까지, 하드웨어 지갑을 통한 자기 보관과 거래소 리스크 사이에서 저울질하는 사용자들이 참고할 검증된 공시는 사실상 없는 상황이다.