CoinDCX、廃止済みウォレットから1,599万USDTを流出

引退済みCoinDCXウォレットから1,599万USDTが流出

被害は、Tether発のステーブルコインであるテザー(USDT)を保有していた、インドの暗号資産取引所CoinDCXが既に運用を引退させていたウォレットの範囲にとどまった。同社は2026年10月25日(日)、2025年7月のハッキング後に廃止した運用系ウォレットの群れから1,599万USDTが流出したと発表し、損失は全額自社で負担する方針を明らかにした。顧客の残高には影響がない。USDTの価格は米ドルに固定されており、今回の流出は既存トークンが死んだアドレスから移動したものであり、ペッグには一切触れていない。同社の公式ブログが経緯を説明している。それによると、10月21日(水)に内部システムが異常を検知し、直ちに稼働中のウォレットと取引システムを保護した。翌22日にはオンチェーンデータと利用者の報告から不審な資金移動が表面化し、調査の結果、原因は未知の脆弱性を抱えた引退済みインフラにたどり着いた。この引退済みウォレット群は、2025年7月19日(土)に明らかになった侵入の対象と同一だ。当時はパートナー取引所への流動性供給に使われていた内部の運用口座から約4,420万ドルが盗まれ、この損失もCoinDCXが負担し、該当ウォレットはその後に運用から外された。そもそもUSDTが死んだアドレスに眠っていたのは、利用者の過誤とクリーンアップ工程の噛み合いによるものだ。アプリが新しい入金アドレスを表示し始めた後も、一部の顧客は旧アドレスに送金を続けた。CoinDCXはこのケース向けに二段階の救済を運用しており、誤送金が到着した時点で残高を付与し、別のサービスが資金を本番ウォレットへ掃き出していた。ところが今回、この掃き出し処理が一時停止していたため、誤送金が引退済みアドレスに蓄積し、そこが流出対象になった。最大の単一送金は1,581万9,002だった。

否定声明の前に浮かんだオンチェーンの警告

オンチェーン調査者の動きは、会社側の公式説明より先だった。資産回復サービスFlashRescueの共同創設者Darcyは10月22日(木)、委任プルーフオブステーク方式で運用されるレイヤー1ブロックチェーンであるTronネットワーク上の不審な送金を指摘した。同日、CoinDCXの共同創設者兼最高経営責任者(CEO)のSumit Gupta氏はXへの投稿で、同社のウォレットは侵入されていないと主張し、利用者に「誤情報」の拡散を控えるよう求め、指摘されたアドレスは2025年7月の事件で既に漏洩したものをハッカーが再利用しているように見えると述べた。取引所の公式アカウントも報告は誤解を招くものだと反論した。その後、匿名のオンチェーン調査者ZachXBTが、該当アドレスの一つは2026年4月と5月にも現在のホットウォレットに入金を転送していたことを指摘した。Gupta氏は調査中であり利用者資金には影響がないと応じ、CoinDCXは同日、掃き出し処理の欠陥が生んだ運用損失は自社が負担する旨をXで認めた。ブログ記事は事後検証に最も近い文書だ。同社は旧インフラの検証と時系列の復元に時間がかかったと説明し、「より先手を打てた」と認めた。残存システムの監視を強化するほか、旧アドレスには有効期限があることを利用者に明確に伝える計画という。取引、入金、出金はこの72時間、停止も出金制限もなく継続していたとしている。開示のタイミングは、同取引所にとって多事多難な時期と重なる。2026年3月、インド警察はCoinDCXの偽サイトに絡む詐欺の告発でGupta氏と共同創設者のNeeraj Khandelwal氏を拘留した。会社側は創設者の関与を否定し、ターン地方裁判所は数日以内に証拠不十分として保釈を認めた。さらに2025年10月にはCoinbaseがCoinDCXへの出資を公表し、出資後の企業価値は24億5,000万ドルとGupta氏が説明した。インド公正取引委員会は同年12月、この少数株主取得を承認している。

弊社の読みでは、今回の事件は稼働中インフラへの新たな侵入ではなく、クリーンアップ工程の欠陥である。誤送金を救済するために設計された仕組みが、掃き出しの停止によって攻撃面へ変わったのであり、被害の範囲は引退済みアドレスで止まっている。10月21日の異常検知は稼働中システムを守ったが、遅れたのは会社の公式説明であり、オンチェーン調査者がTronでの送金を指摘していた10月22日に、なお侵入の否定を続けた経緯は残る。USDTはこうした流出を繰り返し引き受けてきた。イーサリアム上のプロジェクトで起きた485万ドル規模のUSDT流出や、供給面での緩やかな縮小圧力もその例で、循環供給量は5日間で10億ドル分のUSDT時価総額の目減りを伴って縮んでいる。取引所を選ぶ際は、市場リスクと同じ重みで運営元のカウンターパーティーリスクを見るべきであり、おすすめの暗号資産取引所の評価でもこの視点が不可欠だ。今後も不確実なのは旧アドレス層の扱いだ。監視の強化と旧アドレスの有効期限の周知が進められる一方、直近72時間は取引も出金も制限なしで動き続けている。