CoinDCX 16-Mio.-Hack: Was Blockchain-Ermittler fanden

Ein öffentlicher Streit zwischen Blockchain-Ermittlern und der indischen Krypto-Börse CoinDCX rückt eine Frage in den Mittelpunkt, die weit über den Einzelfall hinausgeht: Was bedeutet es für Unternehmen, Wirtschaftsprüfer und CFOs, die auf die Aufzeichnungen einer Börse angewiesen sind, wenn die On-Chain-Aktivität einer Börse ihren offiziellen Aussagen widerspricht? Der Fall CoinDCX, der Ende Oktober 2026 noch andauert, bietet einen ungewöhnlich detaillierten Einblick in die Kluft, die sich zwischen dem, was eine Börse sagt, und dem, was die Blockchain tatsächlich zeigt, auftun kann.

Wie der Vorfall ans Licht kam

Am Morgen des 22. Oktober 2026 meldete ein Blockchain-Ermittler mit dem Decknamen "Darcy", angestellt beim Sicherheitsunternehmen Salus, verdächtige On-Chain-Bewegungen in Höhe von insgesamt 16 Millionen US-Dollar über Adressen, die vermutlich mit CoinDCX in Verbindung stehen. Der Beitrag war öffentlich, detailliert und wurde fast sofort bestritten.

Die anfängliche Leugnung und der ausgelöste Widerspruch

CoinDCX-Mitgründer Sumit Gupta reagierte schnell, wies Darcys Zuordnung als "falsch" zurück und forderte den Forscher auf, keine "Gerüchte zu verbreiten". Diese Leugnung hielt nicht lange. Zahlreiche weitere On-Chain-Analysten schalteten sich in die Diskussion ein, wobei der pseudonyme "SpecterAnalyst" sogar so weit ging, das Unternehmen und seinen Mitgründer der "Lüge" zu bezichtigen.

Darcy untermauerte seine ursprünglichen Erkenntnisse mit dem Hinweis auf Gas-Verteilungsaktivitäten auf den markierten Adressen sowohl vor als auch nach einem Kompromittierungsvorfall im Juli 2025, was der Behauptung direkt widerspricht, die Wallets seien nicht mehr in Gebrauch. Er merkte zudem an, dass einige der Gelder an Adressen geflossen seien, die mit Huione und Xinbi in Verbindung gebracht werden, Diensten, die in Blockchain-Forensik-Kreisen weithin als mit Geldwäsche-Garantieoperationen verbunden gelten.

Was die Börse schließlich einräumte

Eine Erklärung des offiziellen CoinDCX-Accounts auf X bot eine teilweise Erklärung: Die fraglichen Adressen seien im Januar 2025 erstellt, im Juli 2025 kompromittiert worden und seitdem nicht mehr "von CoinDCX genutzt" worden. Eine spätere Klarstellung widersprach dieser Darstellung jedoch. Darin wurde eingeräumt, dass Nutzer weiterhin Gelder auf die kompromittierten Adressen eingezahlt hatten, dass die Börse davor gewarnt hatte und dass sie "regelmäßige Sweeping-Vorgänge" durchgeführt hatte, um diese Gelder ordnungsgemäß zu verbuchen und zu sichern. Die Börse gab zu, dass "für einen bestimmten Zeitraum dieser Sweeping-Prozess fehlschlug". CoinDCX bezeichnete die betroffene Summe schließlich als "einige operationale Verluste" und erklärte, die Nutzereinzahlungen seien ihren Konten gutgeschrieben worden. Es wurde nicht erklärt, wie 16 Millionen US-Dollar über einen so langen Zeitraum unverfolgt bleiben konnten.

Was andere Ermittler ergänzten

Mehrere bekannte Blockchain-Analysten trugen Erkenntnisse bei, die die Zeitleiste von CoinDCX weiter verkomplizieren.

ZachXBT und die Frage der aktiven Adressen

ZachXBT, ein weithin verfolgter On-Chain-Ermittler, merkte an, dass eine der betroffenen Adressen nach dem Kompromittierungsvorfall im Juli 2025 "von einem LP 10 Monate lang" genutzt worden sei und dass von ihr noch im Mai 2026 Gelder an die aktuelle öffentliche Hot Wallet von CoinDCX gesendet worden seien. Wenn das zutrifft, steht das nicht im Einklang mit einer Adresse, die unmittelbar nach einem Hack außer Betrieb genommen wurde.

Taylor Monahans Beobachtung zur Geldwäschetechnik

Die ehemalige MetaMask-Sicherheitsspezialistin Taylor Monahan wies darauf hin, dass sich die bei den Transfers im Oktober 2026 sichtbaren Geldwäschetechniken von denen des letztjährigen Sicherheitsvorfalls unterscheiden. Das deutet darauf hin, dass möglicherweise verschiedene Akteure beteiligt sind, was den Vorfall komplexer machen würde als eine einzelne, begrenzte Kompromittierung.

SomaXBT und die Gelder des Market Makers

Der pseudonyme Analyst SomaXBT behauptete, CoinDCX habe etwa 70 Millionen US-Dollar an Geldern eines Market Makers über die angeblich stillgelegte Adresse bewegt. Die Analyse hob eine deutliche Verhaltensänderung der Adresse hervor: Hatte sie zuvor Gelder direkt an die Hot Wallet von CoinDCX gesendet, begann sie nun, Gelder auf mehrere Ziele zu verteilen, Assets zu tauschen und OTC-Dienste zu nutzen. Diese Verhaltensänderung ist genau die Art von Signal, für deren Erkennung Blockchain-Forensik-Tools entwickelt wurden und die manuelle Abstimmungsprozesse wahrscheinlich übersehen.

Warum der frühere Sicherheitsvorfall hier relevant ist

CoinDCX erlitt 2025 einen separaten Sicherheitsvorfall, der einem Softwareentwickler zugeschrieben wurde, dessen Firmenlaptop kompromittiert wurde, während er für persönliche Nebenprojekte genutzt wurde. Dieser frühere Vorfall ist relevanter Kontext: Er belegt, dass die Börse bereits ein Endpoint-Sicherheitsversagen erlebt hatte, das schwerwiegend genug war, um eine anhaltende Gefährdung der Wallet-Infrastruktur zu schaffen.

Die Tatsache, dass ein zweiter, offenbar eigenständiger Vorfall auftreten konnte, der einige derselben Adressinfrastrukturen betraf und intern unentdeckt blieb, bis ein öffentlicher On-Chain-Beitrag ihn aufdeckte, wirft Fragen zur Angemessenheit der internen Überwachungs- und Abstimmungskontrollen der Börse auf. Für jeden Buchhaltungsprofi, der das Kontrahentenrisiko bewertet, ist diese Abfolge von Ereignissen bedeutsam.

Buchhalterische und Compliance-Implikationen für Unternehmen

Dieser Fall ist nicht nur eine Warngeschichte über eine einzelne Börse. Er veranschaulicht eine strukturelle Anfälligkeit, die überall dort besteht, wo ein Unternehmen digitale Vermögenswerte auf einer Drittplattform hält und sich für seine Bücher auf die Berichterstattung dieser Plattform als primäre Wahrheitsquelle verlässt.

Das Problem der Abstimmungslücke

Der Sweeping-Prozess von CoinDCX versagte offenbar stillschweigend über einen nicht näher bezeichneten Zeitraum bei Adressen mit erheblichen Beträgen. Die Börse räumte das Problem erst ein, nachdem externe Ermittler ihre Ergebnisse veröffentlicht hatten. Für ein Unternehmen oder einen Fonds, der Vermögenswerte auf einer Börse hält, bedeutet dies, dass ein Guthaben beeinträchtigt, eingefroren oder einfach verschwunden sein könnte, ohne dass der Verwahrer eine Benachrichtigung sendet.

Robuste Buchhaltungssoftware für digitale Vermögenswerte begegnet diesem Problem, indem sie Guthaben und Transaktionsdaten direkt von der Blockchain abruft, anstatt sich ausschließlich auf börsengenerierte Abrechnungen zu verlassen. Wenn der On-Chain-Datensatz von dem von der Börse gemeldeten Guthaben abweicht, macht ein unabhängiger Datenfeed die Diskrepanz sichtbar. Eine bloße Börsenabrechnung tut dies nicht. Hier wird die Verfügbarkeit der richtigen Krypto-Buchhaltungssoftware, die On-Chain-Aktivitäten unabhängig von Börsen-APIs erfasst, zu einer echten Kontrolle und nicht nur zu einer Erleichterung der Berichterstattung.

Sorgfaltspflicht gegenüber Kontrahenten

Buchhaltungsfirmen, die Kunden mit bei Börsen gehaltenen Krypto-Vermögenswerten beraten, und CFOs, die Treasury-Positionen auf Handelsplattformen verwalten, sollten diesen Vorfall zum Anlass nehmen, ihre Kontrahentenbewertungen zu überprüfen. Die relevanten Fragen sind: Veröffentlicht die Börse Daten zur Reservenachweisung, und wie häufig? Meldet sie Sicherheitsvorfälle zeitnah und vollständig? Sind ihre internen Sweeping- und Abstimmungsprozesse dokumentiert und prüfbar? Die Kluft zwischen der anfänglichen Leugnung von CoinDCX und seinen späteren teilweisen Eingeständnissen unterstreicht, warum qualitative Sorgfalt gegenüber der Offenlegungskultur einer Börse wichtig ist, nicht nur ihr regulatorischer Registrierungsstatus.

Überwachung von Geldflüssen und AML-Pflichten

Für Unternehmen mit AML-Meldepflichten führen die behaupteten Verbindungen zwischen den markierten Adressen und Diensten, die mit Geldwäsche-Garantieoperationen in Verbindung gebracht werden, eine zusätzliche Risikodimension ein. Wenn ein Unternehmen Gelder erhalten hat, die über diese zwischengeschalteten Adressen geflossen sind, selbst wenn dies unwissentlich geschah, kann es je nach Jurisdiktion eine Pflicht zur Meldung verdächtiger Aktivitäten haben. Die angemessene Reaktion besteht darin, die Analyse zu dokumentieren, rechtlichen Rat einzuholen und sicherzustellen, dass Ihre Transaktionsüberwachungssysteme jegliche historische Exposition kennzeichnen. Protos hat CoinDCX um eine Stellungnahme gebeten; die Börse hatte zum Zeitpunkt der Veröffentlichung nicht geantwortet.

Für Kontext dazu, wie Strafverfolgungsbehörden genau diese Art von blockchain-verfolgten Geldflüssen angehen, lesen Sie unsere Berichterstattung darüber, wie der Cybercrime-Roundtable des Weißen Hauses die Krypto-Durchsetzung prägt.

Was Wirtschaftsprüfer jetzt dokumentieren sollten

Wenn Sie ein Unternehmen prüfen oder überprüfen, das 2025 oder 2026 Vermögenswerte bei CoinDCX hielt, sind mehrere Schritte angebracht.

Guthabenprüfung und Werthaltigkeitsbeurteilung

Verlassen Sie sich für den Zeitraum ab Juli 2025 nicht allein auf von der Börse bereitgestellte Abrechnungen. Gleichen Sie gemeldete Guthaben mit On-Chain-Daten für alle Adressen ab, die mit dem CoinDCX-Konto des Kunden in Verbindung stehen. Wenn Guthaben nicht unabhängig bestätigt werden können, müssen die Vermögenswerte möglicherweise als wertgemindert behandelt werden, bis weitere Nachweise vorliegen. Nach den Grundsätzen von IFRS 9 und IAS 36, die analog auf digitale Vermögenswerte anzuwenden sind (oder je nach gewählter Rechnungslegungsmethode direkt gelten), ist die Unfähigkeit, Bestand und Werthaltigkeit eines Vermögenswerts zu bestätigen, ein Auslöser für Offenlegung, wenn nicht für die Erfassung einer Wertminderung.

Offenlegungspflichten

Wenn ein Kunde wesentliche Risiken gegenüber einer Börse hat, die Gegenstand eines anhaltenden, öffentlich umstrittenen Sicherheitsvorfalls ist, sollten Wirtschaftsprüfer prüfen, ob dieses Risiko je nach Berichtsdatum als Eventualverbindlichkeit oder als nachfolgendes Ereignis offenzulegen ist. Das Fehlen einer klaren, verifizierten Darstellung seitens CoinDCX bedeutet, dass die Unsicherheit real und auf Börsenebene mit mindestens 16 Millionen US-Dollar bezifferbar ist. Die kundenspezifische Exposition hängt vom Umfang der Bestände ab.

Unsere frühere Analyse von Krypto-Buchhaltungssoftware für Warnsignale bei der Durchsetzung behandelt, wie Durchsetzungsmaßnahmen und umstrittene Offenlegungen allgemeiner in die Bewertung von Prüfungsrisiken einfließen sollten.

Der Transparenzstandard, den die Branche braucht

Was den CoinDCX-Vorfall lehrreich macht, ist die Abfolge: Ein öffentlicher On-Chain-Forscher entdeckt eine Anomalie, die Börse bestreitet sie, mehrere unabhängige Ermittler bestätigen die Anomalie mit zusätzlichen Daten, und die Börse gibt dann eine teilweise Bestätigung ab, die selbst interne Widersprüche enthält. Zu keinem Zeitpunkt hat die Börse proaktiv das Scheitern des Sweepings, die fortgesetzte Nutzung einer kompromittierten Adresse oder die "operationalen Verluste" offengelegt, bis externer Druck die Leugnung unhaltbar machte.

Dies ist nicht einzigartig bei CoinDCX. Es spiegelt ein breiteres Muster wider, bei dem Börsen Sicherheitsvorfälle als Reputationsereignisse behandeln, die es zu managen gilt, statt als finanzielle Ereignisse, die offenzulegen sind. Die professionelle Buchhaltungs- und Compliance-Community, insbesondere Unternehmen, die Krypto-Buchhaltungssoftware nutzen, um unabhängige Aufzeichnungen über Kundenbestände zu führen, ist gut positioniert, um diese Lücken zu erkennen, bevor sie zu Prüfungsfeststellungen oder regulatorischen Verweisungen werden. Die Blockchain lügt nicht; die Frage ist, ob der Abstimmungsprozess ausgefeilt genug ist, um ihr zuzuhören.

Häufig gestellte Fragen

Worum geht es beim CoinDCX-Vorfall?

Blockchain-Ermittler meldeten im Oktober 2026 verdächtige On-Chain-Bewegungen von etwa 16 Millionen US-Dollar, die mit CoinDCX-Adressen in Verbindung stehen. Die anfängliche Leugnung der Börse wurde durch spätere Aussagen und durch unabhängige On-Chain-Analysen widerlegt, die ergaben, dass die betroffenen Adressen noch lange nach der vom Unternehmen angeführten Kompromittierung im Juli 2025 weiter genutzt wurden.

Wie wirkt sich dies auf Unternehmen aus, die Vermögenswerte auf Krypto-Börsen halten?

Jedes Unternehmen, das sich zur Guthabenprüfung ausschließlich auf von der Börse bereitgestellte Abrechnungen verlässt, ist dem Risiko ausgesetzt, dass die internen Aufzeichnungen einer Börse von der On-Chain-Realität abweichen. Unabhängige Buchhaltungssoftware für digitale Vermögenswerte, die Daten direkt von der Blockchain abruft, bietet eine separate Verifikationsebene, die Börsen-API-Feeds allein nicht bieten können.

Müssen Wirtschaftsprüfer speziell in Bezug auf CoinDCX etwas unternehmen?

Wirtschaftsprüfer, die Unternehmen mit CoinDCX-Exposition für Zeiträume ab Juli 2025 prüfen, sollten Guthaben unabhängig anhand von On-Chain-Daten verifizieren, prüfen, ob eine Wertminderungserfassung erforderlich ist, und erwägen, ob angesichts der öffentlich umstrittenen und ungelösten Natur des Vorfalls eine Offenlegung des Eventualrisikos angebracht ist.

Welche AML-Implikationen ergeben sich, wenn Gelder über die markierten Adressen geflossen sind?

Wenn die Feststellungen der Ermittler zu Verbindungen mit Adressen, die mit geldwäschebezogenen Diensten in Verbindung stehen, zutreffen, kann jedes Unternehmen, das Gelder erhalten hat, die auf diese Adressen zurückverfolgbar sind, eine Pflicht zur Meldung verdächtiger Aktivitäten haben. Die angemessenen Schritte sind, die Analyse zu dokumentieren, rechtlichen Rat einzuholen und die historischen Transaktionsüberwachungsaufzeichnungen zu überprüfen.

Warum ist der frühere Sicherheitsvorfall von 2025 für die Bewertung dieses Vorfalls relevant?

Der Sicherheitsvorfall von 2025, verursacht durch einen kompromittierten Mitarbeiterlaptop, belegte eine bestehende Schwäche in der Endpoint- und Wallet-Sicherheit von CoinDCX. Ein zweiter Vorfall, der überlappende Adressinfrastrukturen betraf und offenbar intern unentdeckt blieb, bis externe Forscher ihn meldeten, deutet darauf hin, dass die Behebung nach dem ersten Vorfall möglicherweise nicht vollständig war. Für Bewertungen des Kontrahentenrisikos sind wiederholte Vorfälle derselben Art bei einer Börse ein wesentlicher Faktor.

Quelle: Protos