ZachXBT、CoinDCXの説明されない約1,580万ドルの預かり資金を指摘

ZachXBT、CoinDCXの約1,580万ドルの預かり資金に説明を要求

オンチェーン調査者のZachXBTが、インドの暗号資産取引所CoinDCXについて、ユーザーの預かり資金のうち約1,580万ドルが説明されないまま残っていると指摘した。主張の根拠は木曜日にXへ投稿された内容で、焦点はTQKJQで始まるTRONの入金アドレスだ。同氏の読みでは、このアドレスは2025年7月のセキュリティ侵害後も流動性提供業者によって約10か月間運用され続けた。取引履歴によれば、このアドレスはユーザーの入金を、CoinDCXの現行公開ホットウォレットの一つとタグ付けされたウォレットへ送金し続け、同時に取引手数料に充当する資金も受け取っていた。同氏が共有したArkham Intelligenceのデータは、2026年10月21日付で約15,819,002 USDTの移送を示し、ほかに2026年4月と5月にもCoinDCXのホットウォレットとされるアドレスへの少額送金が記録されている。オンチェーン記録はさらに、現行ホットウォレットが侵害されたアドレスへガス代を送っていた痕跡が2026年4月まで残っていることも示すという。同氏の要求は限定的だ。紛争対象の入金がどのように会計処理されたのか、取引所が説明すべきだとする指摘で、これらの資金は透明な準備金証明の中に一度も現れていないという。指摘された資産はTRON上のUSDTであり、これは2025年の資金洗浄の経路と同一の資産とチェーンの組み合わせだ。

@zachxbt · Xの投稿

木曜日にXへ投稿された.

Xで見る

CoinDCX、新たな侵害を否定

CoinDCXは数時間以内に反論した。公式声明の中で同社は、指摘されたアドレスは2025年1月に生成されたもので、2025年7月の攻撃で侵害され、以後取引所は使用していないと説明した。共同創業者でCEOのSumit Gupta氏は、ハッカーが旧ウォレットアドレスを再利用している可能性があるとし、今回の一件は誤った警報の可能性があると述べた。同氏の説明によれば、分析プラットフォームが旧アドレスに今もCoinDCXのタグを付け続けているため、現行の運用に何ら変化がなくても、攻撃者による再利用が新たな侵害に見えてしまうことがあるという。声明はさらに、運用ウォレットや顧客の保管用アドレスから問題の旧アドレスへの資金送金は一切なく、ユーザー資産は安全で、取引サービスは通常どおり継続していると主張した。Gupta氏は調査者本人にも直接回答し、状況は承知しており、さらに調査を進めて速やかに更新を共有する方針を示した上で、ユーザーの資金が損失を被ることはないと保証した。ただし同社は、10月21日の資金移動についてウォレット別の会計をまだ公表しておらず、それこそが調査者が要求している開示である。

@CoinDCX · Xの投稿

公式声明.

Xで見る

10月21日の送金の経路

論争の発端は、水曜日10月21日夜のオンチェーン上の資金移動だった。資産回収プラットフォームFlashRescueの共同創業者Darcy氏が、CoinDCXに帰属するとされるアドレスから合計約1,599万ドル相当のUSDTと5,783.81 TRXが移動したことを検出した。単一の移動として最大だったのは約1,582万USDTだ。資金はまず中継アドレスに着金し、そのアドレスはその後に空にされた。USDTの一部はBinanceのホットウォレットに到達し、OKXとGateにも分散した。Darcy氏はさらに、CoinDCXの最新の準備金証明に記載されていた2つのアドレス自体が、指摘されたTRONアドレスへ資金を送っていたと主張している。背景には検証済みの損失がある。2025年7月19日、同取引所は流動性管理に使用されていた運用口座を通じて約4,400万ドルを流出させた。当時、顧客のウォレットは無傷であり、損失は会社の準備金から吸収され、盗まれた資産の回収を目的として最大1,100万ドルの賞金プログラムが設けられた。直近24時間の取引データによれば、CoinDCXの1日取引高は約115万ドルで、最も活発なペアは法定通貨対USDTという小規模な運営状況だ。

凍結できる資金と残された問い

COINOTAGによる記録の読み解きはこうだ。オンチェーン上の証拠は2025年の事件を確定させる一方、2026年の争点は未解決のまま残されている。2025年7月の攻撃者の取引履歴は、侵害された運用口座を根因として指し示しており、当時のチーム自身による事後分析も、4,400万ドルの損失を会社の準備金に帰属させ、是正策として賞金プログラムを挙げた。証明されていないのは今日の顧客損失だ。タグ付きアドレスからの大口送金は、それ自体では新たなハッキングの証拠にならず、1,580万ドルという数字も盗難として独立に確認されたわけではない。移動した資金の大半は中央集権型の取引所に置かれたUSDTのため、Tetherまたは受け手の取引所がこれらを凍結することは可能だ。ただし凍結が実現するのは、CoinDCXが損失を正式に確認した場合に限られる。同社がウォレット別の会計を公表するまでの間、取引所リスクとハードウェアウォレットによる自己管理を比較しようとするユーザーが参照できる検証済みの開示は、ほとんど存在しない。