Tóm tắt nhanh
CoinDCX – sàn giao dịch tiền mã hoá lớn nhất Ấn Độ – đã phủ nhận việc các ví đang hoạt động của mình bị xâm nhập, sau khi giới điều tra chuỗi khối (on-chain) phát hiện khoảng 16 triệu USD chảy ra từ những địa chỉ được cho là có liên kết với sàn này. Phía CoinDCX khẳng định các giao dịch nói trên đến từ những địa chỉ ví cũ, tạo hồi tháng 1/2025 và đã bị chiếm quyền kiểm soát trong vụ hack tháng 7/2025, kể từ đó sàn không còn dùng tới. Tuy nhiên, nhà điều tra nổi tiếng ZachXBT phản bác rằng ít nhất một trong số các địa chỉ đó vẫn tiếp tục nhận tiền nạp và tương tác với ví nóng hiện tại của CoinDCX cho tới tận năm 2026. Sàn thừa nhận đã có một lỗi tạm thời trong quy trình chuyển tiền nạp từ các địa chỉ đã “nghỉ hưu”, gây thiệt hại vận hành mà sàn tự chịu sau khi hoàn tiền cho người dùng bị ảnh hưởng. CoinDCX khẳng định tài sản khách hàng vẫn nằm trong ví lạnh và hoạt động giao dịch diễn ra bình thường.
Diễn biến chi tiết
Phía sàn: “ví hiện tại không bị ảnh hưởng”
Người phát ngôn của CoinDCX nói với CoinDesk: “Các giao dịch được nhắc đến trong những tuyên bố gần đây liên quan tới các địa chỉ ví cũ được tạo vào tháng 1/2025. Những địa chỉ này đã bị xâm nhập vào tháng 7/2025 và CoinDCX đã không còn sử dụng chúng kể từ đó. Hoạt động đang bị báo cáo hiện nay gắn với các địa chỉ cũ này và không có bất kỳ liên hệ nào với CoinDCX. Các địa chỉ trung tâm và địa chỉ người dùng hiện tại của CoinDCX không bị ảnh hưởng, và không có khoản tiền nào trong các ví đang hoạt động của CoinDCX bị xâm phạm.”
Chuyện bắt đầu từ đâu?
Mọi việc khởi phát khi một người dùng X có tên Darcy hôm thứ Tư chỉ ra một dòng tiền lớn chảy ra khỏi ví nóng của CoinDCX và nhiều địa chỉ nạp tiền liên quan. Tổng giá trị khoảng 16 triệu USD, gồm USDT – stablecoin neo theo đồng USD – và token TRX của Tron.
Stablecoin là loại tiền mã hoá được neo giá theo một tài sản khác (thường là đồng USD) nhằm giữ giá trị ổn định.
Mỗi người dùng được cấp một địa chỉ nạp tiền riêng – một chuỗi ký tự duy nhất để gửi tiền mã hoá vào. Sàn sau đó định kỳ “sweep” các khoản nạp này, tức chuyển chúng về ví chính của mình để mọi thứ nằm ở một nơi sàn kiểm soát. Một phần tiền được đưa vào ví nóng, phần còn lại vào ví lạnh.
Sweep là thao tác sàn gom tiền nạp từ các địa chỉ nạp riêng lẻ về ví chính do mình kiểm soát.
Ví nóng (hot wallet) là ví tiền mã hoá luôn kết nối Internet, phục vụ các giao dịch rút tiền hằng ngày nên tiện lợi nhưng có rủi ro bảo mật cao hơn.
Ví lạnh (cold wallet) là ví được lưu offline, không kết nối Internet, thường dùng để cất giữ phần lớn tài sản của sàn và khách hàng.
Dòng tiền 16 triệu USD đi đâu?
Theo Darcy, toàn bộ số tiền trên được chuyển về một địa chỉ Tron duy nhất, với giao dịch lớn nhất lên tới 15.819.002 USDT. Địa chỉ này sau đó lại chia tiền sang nhiều ví khác nhau. Bài đăng của Darcy gắn nhãn dòng tiền này là nghi vấn bị đánh cắp, làm dấy lên lo ngại về một vụ hack mới tại sàn. Trước đó, CoinDCX từng bị tấn công vào tháng 7/2025 với thiệt hại khoảng 44 triệu USD.
CEO CoinDCX nói “báo động giả”, chuyên gia on-chain phản bác
Ông Sumit Gupta, CEO CoinDCX, phản hồi trên X rằng nhóm hacker của vụ tháng 7/2025 dường như đang tái sử dụng các địa chỉ ví cũ, và gọi đây là báo động giả. Nói cách khác, quan điểm của CoinDCX là sàn đã từ bỏ những địa chỉ đó sau vụ hack, còn chính hacker là bên vẫn đang dùng chúng.
ZachXBT, một nhà điều tra on-chain nổi tiếng, đã chất vấn lập luận này. Ông cho biết ít nhất một trong các địa chỉ đó, được gắn nhãn TQKJQ, vẫn còn được sử dụng: “Địa chỉ nạp tiền TQKJQ của CoinDCX vẫn được một LP sử dụng trong 10 tháng sau sự cố tháng 7/2025 của các bạn, vẫn được sweep tiền nạp của người dùng và nhận gas gần đây nhất là vào tháng 4 và tháng 5/2026, chuyển về ví nóng công khai hiện tại của CoinDCX.”
Diễn giải đơn giản: theo ông, địa chỉ này vẫn liên tục thu tiền nạp của khách hàng và chuyển chúng vào ví hiện tại của CoinDCX trong mùa xuân năm nay.
LP (nhà cung cấp thanh khoản) là tổ chức cung cấp các lệnh mua và bán cho một sàn giao dịch.
Gas là khoản phí nhỏ phải trả để di chuyển token trên chuỗi khối.
Sàn thừa nhận lỗi quy trình
Khi được hỏi liệu địa chỉ cũ đó có thực sự bị bỏ rơi hay không và có còn xử lý tiền hay không, CoinDCX cho biết sau vụ hack tháng 7/2025 sàn đã thông báo cho người dùng không nạp tiền vào những địa chỉ bị xâm phạm như vậy. Hiện sàn gọi các địa chỉ này là “deprecated” (đã ngừng sử dụng).
Người phát ngôn nói: “Dù đã thông báo trước đó, một số người dùng vẫn tiếp tục nạp tiền vào các địa chỉ nạp tiền đã ngừng sử dụng thay vì địa chỉ mới nhất.”
Theo sàn, cơ chế sweep được thiết kế để thu gom những khoản nạp như vậy, nhưng đã không hoạt động trong một khoảng thời gian. CoinDCX khẳng định đã hoàn tiền cho toàn bộ người dùng bị ảnh hưởng, tài sản khách hàng nằm trong ví lạnh, các địa chỉ hiện tại không bị tấn công và giao dịch vẫn diễn ra như bình thường.
Các mốc và con số đáng chú ý
- 16 triệu USD: tổng giá trị dòng tiền bị giới điều tra gắn cờ nghi vấn, gồm USDT và TRX.
- 15.819.002 USDT: giao dịch đơn lẻ lớn nhất trong đợt chuyển tiền, đổ về một địa chỉ Tron duy nhất.
- Tháng 1/2025: thời điểm các địa chỉ ví cũ được tạo, theo lời CoinDCX.
- Tháng 7/2025: vụ hack khiến sàn thiệt hại khoảng 44 triệu USD; các địa chỉ trên bị xâm phạm và bị sàn ngừng sử dụng.
- 10 tháng: khoảng thời gian địa chỉ TQKJQ vẫn được một LP sử dụng sau sự cố, theo ZachXBT.
- Tháng 4–5/2026: thời điểm gần nhất địa chỉ này còn nhận gas và chuyển tiền nạp vào ví nóng hiện tại của CoinDCX, theo ZachXBT.
Điều gì đáng lo?
Điểm mấu chốt không nằm ở số tiền 16 triệu USD, mà ở câu hỏi liệu quy trình vận hành ví của sàn có còn kẽ hở. Việc một địa chỉ đã tuyên bố “nghỉ hưu” vẫn có thể nhận tiền nạp của người dùng và vẫn được đưa vào luồng sweep cho thấy rủi ro vận hành tồn tại độc lập với câu hỏi sàn có bị hack hay không. Với CoinDCX – sàn lớn nhất Ấn Độ và từng mất 44 triệu USD trong một vụ tấn công – sự minh bạch về cách xử lý các địa chỉ cũ sẽ là yếu tố quyết định niềm tin của nhà đầu tư.
Câu hỏi thường gặp
CoinDCX có bị hack trong lần này không?
CoinDCX phủ nhận. Sàn khẳng định các giao dịch bị gắn cờ liên quan tới những địa chỉ ví cũ tạo từ tháng 1/2025, đã bị xâm phạm trong vụ hack tháng 7/2025 và không còn được sử dụng; ví trung tâm và ví người dùng hiện tại không bị ảnh hưởng.
Dòng tiền đáng ngờ có giá trị bao nhiêu và gồm những gì?
Khoảng 16 triệu USD, gồm USDT (stablecoin neo theo đồng USD) và token TRX của Tron. Toàn bộ được chuyển về một địa chỉ Tron duy nhất, với giao dịch lớn nhất là 15.819.002 USDT, sau đó được chia sang nhiều ví khác.
ZachXBT phản bác lập luận của CoinDCX ở điểm nào?
Ông cho rằng ít nhất một địa chỉ mang nhãn TQKJQ vẫn được một nhà cung cấp thanh khoản sử dụng trong 10 tháng sau sự cố tháng 7/2025, vẫn nhận tiền nạp của người dùng và chuyển về ví nóng công khai hiện tại của CoinDCX, gần nhất vào tháng 4 và tháng 5/2026.
Vì sao người dùng vẫn nạp tiền vào địa chỉ cũ?
Theo CoinDCX, dù sàn đã thông báo sau vụ hack tháng 7/2025 rằng không nên nạp tiền vào các địa chỉ bị xâm phạm, một số người dùng vẫn tiếp tục nạp vào các địa chỉ đã ngừng sử dụng thay vì địa chỉ mới nhất.
Thiệt hại được xử lý ra sao?
Sàn thừa nhận quy trình sweep tiền nạp từ các địa chỉ đã ngừng sử dụng bị lỗi trong một khoảng thời gian, gây thiệt hại vận hành mà sàn tự chịu. CoinDCX cho biết đã hoàn tiền cho toàn bộ người dùng bị ảnh hưởng, tài sản khách hàng nằm trong ví lạnh và giao dịch vẫn diễn ra bình thường.
Dịch và biên tập lại theo nguồn: CoinDesk Market
Theo Nghị quyết số 05/2025/NQ-CP ngày 09/09/2025 của Chính phủ về việc thí điểm triển khai thị trường tài sản số tại Việt Nam, Tienmahoa.Net hiện chỉ cung cấp thông tin cho độc giả quốc tế và không phục vụ người dùng tại Việt Nam cho đến khi có hướng dẫn chính thức từ cơ quan chức năng.
