Piratage de 16 M$ chez CoinDCX : ce que les enquêteurs blockchain ont découvert
Un différend public entre des enquêteurs blockchain et la plateforme d'échange indienne CoinDCX a mis en lumière une question qui dépasse largement tout incident isolé : lorsque l'activité on-chain d'une plateforme d'échange contredit ses déclarations officielles, qu'est-ce que cela signifie pour les entreprises, les auditeurs et les directeurs financiers qui se fient aux registres de cette plateforme ? L'affaire CoinDCX, encore en cours fin octobre 2026, offre une vue exceptionnellement détaillée de l'écart qui peut se creuser entre ce qu'une plateforme affirme et ce que la blockchain montre réellement.
Comment l'incident a été révélé
Le matin du 22 octobre 2026, un enquêteur blockchain connu sous le pseudonyme « Darcy », employé par la société de sécurité Salus, a signalé des mouvements on-chain suspects totalisant 16 millions de dollars sur des adresses présumées liées à CoinDCX. La publication était publique, détaillée et presque immédiatement contestée.
Le démenti initial et les réactions qu'il a suscitées
Sumit Gupta, cofondateur de CoinDCX, a rapidement réagi en qualifiant l'attribution de Darcy d'« incorrecte » et en demandant au chercheur de ne pas « répandre des rumeurs ». Ce démenti n'a pas tenu longtemps. Plusieurs autres analystes on-chain sont intervenus, et le pseudonyme « SpecterAnalyst » est allé jusqu'à accuser l'entreprise et son cofondateur de « mentir ».
Darcy a renforcé ses conclusions initiales en soulignant une activité de distribution de gas sur les adresses signalées, avant et après une compromission en juillet 2025, contredisant directement l'affirmation selon laquelle les portefeuilles n'étaient plus utilisés. Ils ont également noté que certains fonds avaient été transférés vers des adresses associées à Huione et Xinbi, des services largement identifiés dans les milieux de la forensique blockchain comme liés à des opérations de garantie de blanchiment.
Ce que la plateforme a finalement reconnu
Une déclaration du compte officiel de CoinDCX sur X a offert une explication partielle : les adresses en question avaient été créées en janvier 2025, avaient été compromises en juillet 2025 et n'avaient pas été « utilisées par CoinDCX » depuis. Une clarification ultérieure a toutefois contredit cette position. Elle reconnaissait que des utilisateurs avaient continué à déposer des fonds sur les adresses compromises, que la plateforme avait mis en garde contre cette pratique et qu'elle avait procédé à un « balayage régulier » pour que ces fonds soient correctement comptabilisés et sécurisés. La plateforme a admis que « pendant une certaine période, ce processus de balayage a échoué ». CoinDCX a finalement qualifié la somme concernée de « certaines pertes opérationnelles » et a déclaré que les dépôts des utilisateurs avaient été crédités sur leurs comptes. Elle n'a pas expliqué comment 16 millions de dollars ont pu échapper à tout suivi pendant une fenêtre aussi longue.
Ce que d'autres enquêteurs ont ajouté
Plusieurs analystes blockchain reconnus sont intervenus avec des constats qui compliquent encore la chronologie de CoinDCX.
ZachXBT et la question des adresses actives
ZachXBT, un enquêteur on-chain très suivi, a noté que l'une des adresses concernées avait été utilisée « par un LP pendant 10 mois » après la compromission de juillet 2025, et que des fonds en provenance de cette adresse avaient été envoyés vers le portefeuille chaud public actuel de CoinDCX pas plus tard qu'en mai 2026. Si cela est exact, cela ne correspond pas à une adresse abandonnée immédiatement après un piratage.
L'observation de Taylor Monahan sur les techniques de blanchiment
Taylor Monahan, ancienne spécialiste de la sécurité chez MetaMask, a fait remarquer que les techniques de blanchiment visibles dans les transferts d'octobre 2026 diffèrent de celles observées lors de la violation de l'année dernière. Cela implique que des acteurs différents peuvent être impliqués, ce qui rendrait l'incident plus complexe qu'une simple compromission circonscrite.
SomaXBT et les fonds du teneur de marché
L'analyste pseudonyme SomaXBT a allégué que CoinDCX avait déplacé environ 70 millions de dollars de fonds d'un teneur de marché via l'adresse supposément abandonnée. L'analyse a mis en évidence un changement distinct dans le comportement de l'adresse : alors qu'elle envoyait auparavant des fonds directement vers le portefeuille chaud de CoinDCX, elle a commencé à répartir les fonds vers plusieurs destinations, à échanger des actifs et à utiliser des services de gré à gré. Ce changement de schéma est précisément le type de signal que les outils de forensique blockchain sont conçus pour détecter, et que les processus de rapprochement manuels sont susceptibles de manquer.
Pourquoi la violation antérieure est importante ici
CoinDCX a subi un incident de sécurité distinct en 2025, attribué à un ingénieur logiciel dont l'ordinateur portable professionnel a été compromis alors qu'il était utilisé pour des projets personnels parallèles. Cette violation antérieure constitue un contexte pertinent : elle a établi que la plateforme avait déjà connu une défaillance de sécurité des points terminaux suffisamment grave pour créer une exposition continue sur l'infrastructure des portefeuilles.
Le fait qu'un second incident, apparemment distinct, ait pu se produire en affectant une partie de la même infrastructure d'adresses, et reste non détecté en interne jusqu'à ce qu'une publication publique on-chain le révèle, soulève des questions sur l'adéquation des contrôles internes de surveillance et de rapprochement de la plateforme. Pour tout professionnel de la comptabilité évaluant le risque de contrepartie, cette séquence d'événements est significative.
Implications comptables et de conformité pour les entreprises
Cette affaire n'est pas seulement un conte moral sur une plateforme d'échange. Elle illustre une vulnérabilité structurelle qui s'applique partout où une entreprise détient des actifs numériques sur une plateforme tierce et se fie aux déclarations de cette plateforme comme source principale de vérité pour ses livres.
Le problème de l'écart de rapprochement
Le processus de balayage de CoinDCX a apparemment échoué silencieusement, pendant une période non spécifiée, sur des adresses détenant des sommes importantes. La plateforme n'a reconnu le problème qu'après que des enquêteurs externes ont rendu leurs conclusions publiques. Pour une entreprise ou un fonds qui détient des actifs sur une plateforme d'échange, cela signifie qu'un solde pourrait être déprécié, gelé, ou simplement manquant, sans aucune notification du dépositaire.
Un logiciel de comptabilité d'actifs numériques robuste remédie à cela en extrayant les soldes et les données de transaction directement de la blockchain, plutôt qu'en dépendant uniquement des relevés générés par la plateforme. Lorsque l'enregistrement on-chain diverge du solde déclaré par la plateforme, un flux de données indépendant fera apparaître la discrepancy. Un relevé de plateforme seul ne le fera pas. C'est là que le fait de disposer du bon logiciel de comptabilité crypto, qui capture l'activité on-chain indépendamment des API de la plateforme, devient un véritable contrôle plutôt qu'une simple commodité de reporting.
Diligence raisonnable sur les contreparties
Les cabinets comptables conseillant des clients détenant des actifs crypto sur des plateformes d'échange, ainsi que les directeurs financiers gérant des positions de trésorerie sur des plateformes de trading, devraient considérer cet incident comme une invitation à revoir les évaluations de contrepartie. Les questions pertinentes sont : la plateforme publie-t-elle des données de preuve de réserves, et à quelle fréquence ? Divulgue-t-elle les incidents de sécurité rapidement et complètement ? Ses processus internes de balayage et de rapprochement sont-ils documentés et auditables ? L'écart entre le démenti initial de CoinDCX et ses aveux partiels ultérieurs souligne pourquoi la diligence raisonnable qualitative sur la culture de divulgation d'une plateforme compte, et pas seulement son statut d'enregistrement réglementaire.
Surveillance des flux de fonds et obligations AML
Pour les entreprises ayant des obligations de déclaration AML, les liens allégués entre les adresses signalées et des services associés à des opérations de garantie de blanchiment introduisent une couche de risque distincte. Si une entreprise a reçu des fonds qui ont transité par ces adresses intermédiaires, même sans le savoir, elle peut avoir une obligation de déclaration d'activité suspecte selon sa juridiction. La réponse appropriée consiste à documenter l'analyse, à consulter un avocat et à s'assurer que vos systèmes de surveillance des transactions signalent toute exposition historique. Protos a contacté CoinDCX pour obtenir un commentaire ; la plateforme n'avait pas répondu au moment de la publication.
Pour un contexte sur la manière dont les agences d'application de la loi abordent exactement ce type de flux de fonds tracés par blockchain, voir notre article sur comment la table ronde de la Maison Blanche sur la cybercriminalité façonne l'application de la réglementation crypto.
Ce que les auditeurs devraient documenter dès maintenant
Si vous auditez ou examinez une entité qui détenait des actifs sur CoinDCX en 2025 ou 2026, plusieurs étapes sont justifiées.
Vérification des soldes et évaluation de la dépréciation
Ne vous fiez pas uniquement aux relevés fournis par la plateforme pour la période à partir de juillet 2025. Recoupez les soldes déclarés avec les données on-chain pour toute adresse liée au compte CoinDCX du client. Si les soldes ne peuvent pas être vérifiés de manière indépendante, les actifs peuvent devoir être traités comme dépréciés en attendant des preuves supplémentaires. Selon les principes IFRS 9 et IAS 36 appliqués par analogie aux actifs numériques (ou directement, selon la politique comptable adoptée), l'incapacité à confirmer l'existence et la recouvrabilité d'un actif est un déclencheur de divulgation, voire de comptabilisation d'une dépréciation.
Obligations de divulgation
Lorsqu'un client a une exposition significative à une plateforme d'échange faisant l'objet d'un incident de sécurité en cours, publiquement contesté, les auditeurs doivent déterminer si cette exposition nécessite une divulgation en tant que passif éventuel ou événement postérieur à la clôture, selon la date de reporting. L'absence d'un compte rendu clair et vérifié de la part de CoinDCX signifie que l'incertitude est réelle et quantifiable à hauteur d'au moins 16 millions de dollars au niveau de la plateforme. L'exposition propre au client dépendra de l'ampleur des avoirs.
Notre analyse précédente sur les logiciels de comptabilité crypto pour les signaux d'alerte réglementaires couvre la manière dont les actions répressives et les divulgations contestées devraient alimenter les évaluations des risques d'audit de manière plus générale.
La norme de transparence dont l'industrie a besoin
Ce qui rend l'incident CoinDCX instructif, c'est la séquence : un chercheur on-chain public repère une anomalie, la plateforme la nie, plusieurs enquêteurs indépendants corroborent l'anomalie avec des données supplémentaires, puis la plateforme émet une reconnaissance partielle qui contient elle-même des contradictions internes. À aucun moment la plateforme n'a divulgué proactivement la défaillance du balayage, l'utilisation continue d'une adresse compromise ou les « pertes opérationnelles » avant que la pression externe ne rende le démenti intenable.
Cela n'est pas propre à CoinDCX. Cela reflète un schéma plus large dans lequel les plateformes d'échange traitent les incidents de sécurité comme des événements de réputation à gérer plutôt que comme des événements financiers à divulguer. La communauté professionnelle de la comptabilité et de la conformité, en particulier les cabinets utilisant des logiciels de tenue de livres crypto pour maintenir des registres indépendants des avoirs des clients, est bien placée pour identifier ces lacunes avant qu'elles ne deviennent des constats d'audit ou des signalements réglementaires. La blockchain ne ment pas ; la question est de savoir si le processus de rapprochement est suffisamment sophistiqué pour l'écouter.
Questions fréquemment posées
Quel est l'incident CoinDCX ?
Les enquêteurs blockchain ont signalé des mouvements on-chain suspects d'environ 16 millions de dollars liés à des adresses CoinDCX en octobre 2026. Le démenti initial de la plateforme a été contredit par des déclarations ultérieures et par une analyse on-chain indépendante, qui a révélé que les adresses concernées continuaient d'être utilisées bien après la compromission de juillet 2025 citée par la plateforme.
Comment cela affecte-t-il les entreprises qui détiennent des actifs sur des plateformes d'échange crypto ?
Toute entreprise qui se fie uniquement aux relevés fournis par la plateforme pour vérifier ses soldes est exposée au risque que les registres internes d'une plateforme divergent de la réalité on-chain. Un logiciel indépendant de comptabilité d'actifs numériques qui extrait les données directement de la blockchain fournit une couche de vérification distincte que les flux API de la plateforme ne peuvent pas offrir à eux seuls.
Les auditeurs doivent-ils faire quelque chose de spécifique concernant CoinDCX ?
Les auditeurs examinant des entités ayant une exposition à CoinDCX pour les périodes à partir de juillet 2025 doivent vérifier les soldes de manière indépendante en utilisant les données on-chain, évaluer si une comptabilisation de dépréciation est nécessaire et déterminer si la divulgation d'un risque éventuel est justifiée compte tenu de la nature publiquement contestée et non résolue de l'incident.
Quelles sont les implications AML si des fonds ont transité par les adresses signalées ?
Si les conclusions des enquêteurs concernant les liens avec des adresses associées à des services liés au blanchiment sont exactes, toute entreprise ayant reçu des fonds traçables jusqu'à ces adresses peut avoir une obligation de déclaration d'activité suspecte. Les mesures appropriées consistent à documenter l'analyse, à consulter un avocat et à examiner les registres historiques de surveillance des transactions.
Pourquoi la violation antérieure de 2025 est-elle importante pour évaluer cet incident ?
La violation de 2025, causée par un ordinateur portable d'employé compromis, a établi une faiblesse existante dans la sécurité des points terminaux et des portefeuilles de CoinDCX. Un second incident affectant une infrastructure d'adresses qui se chevauche, et apparemment non détecté en interne jusqu'à ce que des chercheurs externes le signalent, suggère que la remédiation après la première violation n'était peut-être pas complète. Pour les évaluations du risque de contrepartie, des incidents répétés du même type chez une plateforme constituent un facteur important.
Source : Protos