CoinDCX、廃止済みウォレットから1,599万USDTを流出

更新 20:01 UTC： Bitqueryの独立系分析により、CoinDCXに紐づくウォレットの活動が2026年10月まで続いていたことが判明した。2025年7月のハッキング後にインフラが完全に廃止されたとする主張と矛盾する内容だ。

CoinDCXの廃止済みウォレットから1,599万USDT

被害は、インドの暗号資産取引所CoinDCXがすでに廃止したウォレットの範囲にとどまった。同社は10月25日(日曜日)、2025年7月のハッキング後に運用を止めた運用ウォレット群から1,599万USDTが流出したと公表し、損失は全額自己負担すると述べた。顧客の残高への影響はない。中心にあるのはステーブルコインであり、Tether発行のUSDTだ。既存のトークンが死んだアドレスから移動されただけで、USDTの価格である1ドルへのペグには一切触れていない。同社の公式ブログが経緯を説明している。それによると、10月21日(水曜日)に内部システムが異常を検知し、直ちに現行のウォレットと取引システムを保護した。翌22日、オンチェーンデータとユーザーからの報告で不審な資金移動が浮上し、調査の結果、流出元は未知の脆弱性を抱えた廃止済みインフラだと特定された。この廃止済みウォレットは、2025年7月19日(土曜日)に公表されたハッキングで侵害されたのと同じグループだ。当時は提携取引所に流動性を供給するための内部運用口座から約4,420万ドルが盗まれ、この損失もCoinDCXが負担し、該当ウォレットは運用から外されていた。USDTが死んだアドレスに残っていた理由は、誤送金対応プロセスとユーザーの行動の組み合わせにある。アプリが新しい入金アドレスを表示した後も、一部の顧客は旧アドレスに送金を続けた。CoinDCXはこの事態向けに二段階の救済を運用していた。誤送金が届いた時点で残高を計上し、その後、別のサービスが資金を現行ウォレットへ回収する。今回は回収処理が一定期間停止しており、誤送金が旧アドレスに溜まっていた。それが流出された。最大の単一送金額は15,819,002だった。

警鐘が鳴らされた送金のTron側の詳細は、流出の実態をより具体的に示している。オンチェーンデータでは、10月21日23時35分(台湾時間)にCoinDCXのホットウォレットと複数の入金アドレスから、単一のTRONアドレスへ1,599万USDTと5,783.81TRXが送られ、最大の移転は15,819,002に達した。資金はその後、Binance、OKX、Gateの入金アドレスへ分割された。ZachXBTは、約1,580万ドル相当のユーザー入金がチーム側で把握されていなかった点を強く指摘しつつ、それでもCoinDCXが盗まれた資産の6桁ドル規模の凍結を支援したと明かしている。グプタ氏の過去の否定とこの指摘について質問が向けられると、取引所の広報代理は具体性に触れず、公式ブログの内容のみを参照するよう求めた。

損失を合算すると、2件の事故が並び立つ。1,599万USDTの流出が確定したことで、2025年7月のハッキングと今回の流出によるCoinDCXの累計損害は約6,000万ドルに迫る。前回の侵害はサーバー侵入の責任とされ、盗難資金への懸賞金捜査が行われ、後に従業員1名が事件に関連して逮捕された。

否定を先回りしたオンチェーンの警鐘

オンチェーンの調査筋は、会社側の公式説明より先行していた。資産回復サービスFlashRescueの共同創設者Darcyは10月22日(木曜日)、Tronネットワーク上の不審な送金を指摘した。Tronは委託証明方式で動くレイヤー1のブロックチェーンだ。同じ日、CoinDCXの共同創設者兼最高経営責任者(CEO)のSumit Gupta氏はX上で、同社のウォレットは侵害されていないと投稿し、「誤情報」を拡散しないよう呼びかけ、指摘されたアドレスは2025年7月の事件ですでに侵害されたもので、ハッカーが再利用しているように見えると説明した。取引所の公式アカウントも報告を誤解を招くとした。その後、ZachXBTは当該アドレスの1つが2026年4月と5月にも現行のホットウォレットへ入金を転送していたと指摘した。Gupta氏は調査中でありユーザーの資金は影響を受けていないと応じ、CoinDCXは同日、X上で回収処理の欠陥がもたらした運用損失は自社負担だと認めた。公式ブログは事後検証に最も近い文書だ。同社は旧インフラの精査と時系列の再構築に時間がかかったと述べ、「より先手的に動けた可能性」を認めた。残存システムの監視を強化し、旧アドレスに有効期限があることをユーザーに明示する計画だ。取引、入金、出金は直近72時間、停止も出金制限もなく継続しているという。開示のタイミングは、取引所にとって多事多難の時期に当たる。3月には、偽物のCoinDCXサイトに関連する詐欺の告発でインド警察がGupta氏と共同創設者のNeeraj Khandelwal氏を任意で取り調べた。会社側は創業者の関与を否定し、ターネーの裁判所は数日以内に証拠不十分として保釈を認めた。2025年10月にはCoinbaseがCoinDCXへの出資を公表し、Gupta氏は出資後の評価額を24.5億ドルとした。インド公正取引委員会は同年12月にこの少数株主取得を承認した。

筆者の見立てでは、これは生きているインフラへの新たな侵害ではなく、廃止プロセスの欠陥だ。誤送金を救済するために作られた仕組みが、回収が停止した瞬間に攻撃面へ変わった。範囲は廃止済みアドレスで止まっている。10月21日の異常検知は現行システムを守った。遅れたのは会社側の説明であり、オンチェーン調査筋がTronの送金を指摘していた10月22日に、なお侵害を否定していた。USDTはこうした流出を繰り返し引き受けてきた。イーサリアムのプロジェクトでの485万ドルのUSDT流出や、緩やかな供給側の圧力もその一つだ。循環供給が縮む中、USDTの時価総額は5日間で10億ドル減少した。取引所を選ぶ際は、市場リスクと同じ重みで取引所リスクを評価すべき段階にある。旧アドレス層が依然として晒されている点も、ソースが示す範囲だ。監視は強化され、ユーザーには旧アドレスの失効が告知される予定で、取引と出金は直近72時間、制限なく動いていた。

オンチェーン記録の新しい詳細は、流出そのものの時間軸を鋭くしている。X上の応酬は速かった。Gupta氏は3時間以内に誤報と反論し、公式アカウントはその4分後に当該アドレスが2025年7月以降未使用だったと述べ、ZachXBTは1つのアドレスが流動性提供者の下で10か月間稼働し続け、2026年5月に至るまでユーザー入金を現行ホットウォレットへ回収していたと反論した。その後の彼の助言は率直だった。CoinDCXからは全額引き出せ、だ。

アドレスが本当に廃止されていたのかをめぐる論争に、新たな証拠が加わった。Bitqueryの独立系分析は、CoinDCXに紐づくウォレットの活動が2026年10月まで続いていたと確認した。2025年7月の侵害後にインフラが完全に退役したという主張と矛盾する。一方、ZachXBTは公の場で同取引所の共同創設者らを「サーカスを仕切る道化」と呼び、盗まれた資産がないとする公私両面の否定は、嘘か無能のどちらかだと批判した。会社側は、コールドストレージの資産が無傷であること、顧客の口座が完全に補填されたこと、調査の進展に伴い追加情報を公表することを確認している。ただし、なぜ数百万人規模の資金が、放棄を告知済みのアドレスに溜まっていたのかについては、まだ説明していない。