CoinDCX Tanggung Sendiri Kerugian $15,99 Juta dari Dompet Lama yang Terlupakan

Bursa kripto India CoinDCX menyatakan pada 25 Oktober bahwa seorang penyerang mengambil sekitar 15,99 juta USDT — yang dinilai perusahaan setara kira-kira $16 juta — dari dana yang menumpuk di sebuah dompet lama yang sebenarnya sudah tidak lagi dipakai. CoinDCX mengatakan akan menanggung sendiri seluruh kerugian itu.

Yang membuat kejadian ini menarik untuk dipahami bukan soal sistem perdagangannya jebol, melainkan soal bagian "belakang rumah" yang lupa dimatikan. Sebuah bursa biasanya menerima setoran lewat banyak alamat dompet, dan ada proses otomatis yang rutin menyapu dana dari alamat-alamat itu ke penyimpanan utama. Ketika sebagian alamat dipensiunkan, mestinya tidak ada lagi uang yang mampir ke sana. Masalahnya, proses penyapu otomatis tersebut sempat macet untuk suatu periode. Akibatnya, setoran yang masih nyasar ke alamat-alamat lama terus menumpuk tanpa dipantau. Di situlah letak celahnya: uang mengendap di tempat yang sudah tidak dijaga, lalu ada kerentanan — yang menurut perusahaan penyebabnya belum diketahui — yang dimanfaatkan penyerang untuk menguras dana itu. Intinya, dana yang ditinggalkan di sudut yang terlupakan jauh lebih mudah menjadi sasaran ketimbang dana yang aktif diawasi.

Sempat ada kebingungan di awal. Pada 22 Oktober, salah satu pendiri sekaligus CEO Sumit Gupta menyebut dompet tersebut tidak diretas dan menggambarkan laporan yang beredar sebagai "alarm palsu". Belakangan CoinDCX mengakui bahwa ada kerugian operasional yang terkait dengan setoran yang terus-menerus mengalir ke alamat-alamat yang sudah tidak aktif.

CoinDCX menegaskan dana nasabah disimpan di cold wallet yang terpisah, dan aktivitas perdagangan, setoran, maupun penarikan tetap berjalan normal. Perusahaan mengatakan akan memperketat pemantauan terhadap sistem-sistem sisa yang sudah tidak terpakai dan rutin mengingatkan nasabah untuk memperbarui alamat setoran mereka.

Kejadian ini juga bukan yang pertama bagi CoinDCX. Pada Juli 2025 bursa ini mengalami peretasan terpisah senilai $44 juta, dan ketika itu Gupta pun menyatakan perusahaan akan menanggung kerugiannya.

Yang masih perlu diikuti adalah penjelasan lanjutan soal akar penyebab celah keamanannya, karena sejauh ini perusahaan menyebutnya belum diketahui. Selama belum ada keterangan baru, dua hal yang patut dicermati adalah apakah ada perincian tambahan tentang bagaimana kerentanan itu terjadi dan apakah betul tidak ada dampak langsung ke saldo nasabah seperti yang dinyatakan perusahaan.