Stel je voor dat je rookmelder afgaat en iemand roept dat er niks aan de hand is. Drie dagen later blijkt de keuken toch flink beschadigd. Zo ongeveer verliep het de afgelopen week bij CoinDCX, een van de grootste cryptobeurzen van India. De exchange heeft nu bevestigd dat er voor 16 miljoen dollar aan crypto is verdwenen, terwijl de topman de eerste signalen nog afdeed als loos alarm.
Van ontkenning naar bevestiging in drie dagen
Het begon met opvallende bewegingen in wallets die aan CoinDCX gekoppeld waren. Onderzoekers op X zagen geld wegstromen en sloegen alarm. CEO Sumit Gupta reageerde snel en stellig: er zou niets mis zijn, de meldingen klopten volgens hem niet.
Dat geruststellende verhaal hield geen stand. In een officiële update op het eigen blog erkent de beurs inmiddels dat er wel degelijk een verlies is geleden. Juist dat contrast maakt het verhaal pijnlijk. Niet alleen het lek zelf, maar ook de manier waarop het eerst werd weggewuifd.
Hieronder de reactie waarmee Gupta de eerste meldingen van tafel veegde.
Wat ging er precies mis?
De kern van het probleem zit in oude wallets. Een exchange gebruikt veel verschillende adressen om stortingen te ontvangen. Worden zulke adressen buiten gebruik gesteld, dan horen ze eigenlijk leeg en afgesloten te blijven.
Bij CoinDCX ging dat anders. Wallets die als gepensioneerd golden, bleken gecompromitteerd: iemand anders had er toegang toe. Tegelijk haperde een automatisch systeem dat binnenkomend geld normaal doorschuift naar veiligere opslag. Het gevolg was dat stortingen zich ophoopten op plekken waar een aanvaller er zo bij kon.
Je kunt het vergelijken met een oude brievenbus bij een huis waar je al jaren niet meer woont. Iemand heeft er nog een sleutel van, en de post blijft er gewoon in vallen omdat de doorstuurservice stilletjes is gestopt.
Klanten buiten schot, zegt de beurs
Voor gebruikers is het belangrijkste nieuws dat CoinDCX zegt het verlies zelf te dragen. De saldi van klanten zouden veilig zijn. Dat is geruststellend, al is het goed om te weten dat je daarvoor op het woord van de beurs moet vertrouwen. En dat vertrouwen heeft door de eerdere ontkenning een deuk opgelopen.
Bovendien is dit niet de eerste klap. In juli vorig jaar werd CoinDCX al getroffen door een hack waarbij ruim 44 miljoen dollar verdween. Twee grote incidenten in iets meer dan een jaar roepen begrijpelijkerwijs vragen op over hoe de beveiliging achter de schermen is ingericht.
Onderzoekers kijken verder dan de verklaring
Blockchain-speurders laten het niet bij de uitleg van de exchange. Bekende onderzoeker ZachXBT was er vroeg bij met kritische vragen, en het analysebedrijf Bitquery publiceerde een eigen onafhankelijke analyse van de geldstromen. Zulke onderzoekers volgen elke transactie op de openbare blockchain, een soort digitaal kasboek dat iedereen kan inzien.
Dat maakt crypto in dit opzicht anders dan een bankoverval: de buit verdwijnt niet in het niets, maar laat sporen achter. Waar het nu op aankomt, is of die sporen leiden naar plekken waar het geld nog bevroren kan worden, en of de bevindingen van onafhankelijke onderzoekers aansluiten bij wat CoinDCX zelf naar buiten brengt.
