CoinDCX מאשרת אובדן של 16 מיליון דולר מארנקים שהוצאו משימוש, ימים אחרי שהמנכ"ל דיבר על אזעקת שווא

הבורסה ההודית CoinDCX אישרה שאיבדה 16 מיליון דולר מארנקים שכבר הוצאו משימוש. האישור, שדווח ב-25 באוקטובר באתר The Block, הגיע ימים ספורים אחרי שהמנכ"ל סומיט גופטה כתב למשתמשים ברשת X, ביום רביעי, שהדיווחים הראשונים על פריצה נשמעים לו כמו "אזעקת שווא".

משתמש שקרא את הציוץ של גופטה וסגר את האפליקציה בתחושת הקלה קיבל תמונה שהתבררה כשגויה בתוך כמה ימים. מה שמטריד בפרשה הוא סדר האירועים, הרגעה פומבית מפי המנכ"ל ורק אחר כך אישור רשמי של אובדן.

מה נאמר ביום רביעי ומה אושר אחר כך

לפי הסיכום שפרסם The Block, כך התגלגלו הדברים:

הניסוח של גופטה היה זהיר יחסית. הוא כתב שהדיווחים "נשמעים כמו" אזעקת שווא, ולא קבע שאין פריצה. אבל כשמנכ"ל של בורסת קריפטו מתבטא בפומבי בזמן אמת, רוב הקוראים מבינים את דבריו כהודעה שהכול בסדר. הפער בין הניסוח לבין האופן שבו נקרא הוא מה שהפך את האישור המאוחר לבעיה תדמיתית עבור הבורסה.

הסיכום הזמין אינו מפרט איך בדיוק יצאו הכספים ובאילו מטבעות מדובר. הוא גם לא אומר אם יתרות של לקוחות נפגעו או שהבורסה סופגת את האובדן מהון עצמי. על השאלות האלה לקוחות CoinDCX צריכים לקבל תשובה כתובה, ועד שזה קורה כדאי להתייחס לכל הערכה כלא סופית.

למה ארנק שהוצא משימוש עדיין יכול להחזיק כסף

בורסות מחליפות ארנקים מעת לעת, למשל במעבר לספק אבטחה חדש, אחרי החלפת מפתחות או כשמשנים את מבנה האחסון. הארנק הישן מסומן אצלן כ"בדימוס", אבל בבלוקצ'יין (רשומה ציבורית ומבוזרת של כל העסקאות) כתובת אינה נסגרת לעולם. כל יתרה שנשארה בה, וכל העברה שמישהו שלח אליה בטעות אחרי ההחלפה, נשארות נגישות למי שמחזיק במפתח הפרטי שלה, כלומר הקוד הסודי שמאשר הוצאת כספים מהכתובת.

כאן נוצר סיכון שקל לפספס. ארנק פעיל נמצא תחת ניטור צמוד, כי כל יציאה ממנו משפיעה על פעילות שוטפת. ארנק ישן נוטה לקבל פחות תשומת לב, והמפתחות שלו עלולים להישמר במערכות או בנהלים שכבר לא מתוחזקים באותה רמה. בסיכום של The Block אין פירוט של מה השתבש במקרה של CoinDCX, אבל עצם העובדה שהאובדן הגיע מארנקים כאלה מרמזת שנשארו בהם כספים אחרי שהוצאו משימוש.

שקיפות בבורסה מול החשש מבריחת לקוחות

למנהלי בורסות יש תמריץ ברור להרגיע מהר. דיווח על פריצה עלול לגרום ללקוחות למשוך כספים בבת אחת, וגל משיכות כזה מסוכן לבורסה לא פחות מהפריצה עצמה. מנגד, תנועות בבלוקצ'יין גלויות לכל, וחוקרים עצמאיים מסוגלים לזהות העברות חשודות עוד לפני שהבורסה מסיימת את הבדיקה הפנימית שלה. הכחשה מוקדמת שמתבררת כשגויה פוגעת באמון יותר מהודעה מוקדמת שאומרת "אנחנו בודקים".

המקרה של CoinDCX מחדד מבחן שאתם יכולים להפעיל על הבורסה שלכם. בדקו אם היא מפרסמת עדכונים כתובים בערוצים רשמיים, עם מועדים ופרטים, או שהמידע מגיע בעיקר מציוצים אישיים של ההנהלה.

ישראלים שמחזיקים כסף בבורסות זרות: צעדים מעשיים

בישראל, נותני שירות בקריפטו מקבלים רישיון מרשות שוק ההון. חוזר 2862 של בנק ישראל, שייכנס לתוקף ב-1 במאי 2027, קובע שספק ישראלי מורשה (או ספק זר מורשה ממדינה שאינה בסיכון גבוה) מוריד את רמת הסיכון בעיני הבנק, ובורסות לא מפוקחות מעלות אותה. עד אותו מועד עדיין חל הכלל הישן של בדיקת מקור כספים מעל 100,000 שקל בשנה, ופירטנו את השינוי בכתבה על תיקון הוראה 411. בחירת הבורסה משפיעה אפוא גם על הקלות שבה תעבירו את הכסף חזרה לחשבון הבנק, שכן בנקים בישראל מעכבים לא פעם העברות מבורסות זרות ומבקשים מסמכים על מקור הכספים.

דוגמה מספרית: נניח שיש לכם ביטקוין בשווי 50,000 שקל בבורסה זרה. אם תשאירו בה 5,000 שקל לצורכי מסחר ותעבירו 45,000 שקל לארנק קר שבשליטתכם (ארנק שהמפתחות שלו נשמרים מחוץ לאינטרנט), החשיפה שלכם לאירוע אבטחה בבורסה יורדת מ-50,000 ל-5,000 שקל, ירידה של 90%. המחיר הוא אחריות אישית על הגיבוי, ועל כך כתבנו במדריך לשמירת ביטקוין בבטחה.

כמה הרגלים נוספים שרלוונטיים לסיפור הזה:

• העתיקו את כתובת ההפקדה מהאפליקציה בכל פעם מחדש, ואל תשתמשו בכתובת ששמרתם לפני חודשים. בורסה שהחליפה ארנקים עלולה לא לזכות אתכם על הפקדה לכתובת ישנה.
• שמרו צילומי מסך של היתרות ואישורי עסקאות. אם תצטרכו להגיש תביעה מול הבורסה, או להציג לבנק מקור כספים בעת מכירה והעברה לשקלים, המסמכים האלה יחסכו זמן.
• כשיש דיווחים על פריצה, חכו להודעה רשמית בערוצי הבורסה ואל תסתמכו על ציוץ של מנכ"ל בלבד.

הכתבה נועדה למטרות מידע בלבד ואינה ייעוץ השקעות.