インドのCoinDCXは、内部プロセスの不具合により顧客の入金が、2025年7月に同取引所が受けた4,400万ドルのセキュリティ侵害に関連した廃止済み暗号資産ウォレットに滞留し、1,599万ドルの損失を吸収したと発表した。

同取引所によると、更新後のウォレットを使うよう案内されていたにもかかわらず、一部のユーザーが旧入金アドレスへの送金を続けていた。はみ出した入金をCoinDCXの主要ウォレットへ回収する役割を担う自動サービスが、不明な期間にわたって機能しなくなり、損失が発生した。今回故障したような回収サービスは、取引所の資金管理業務における日常的なバックグラウンド処理であり、この層での単一のサイレントな障害が、残存入金を運営者の貸借対照表への直接的な打撃に変え得ることを示す事例となった。

同社は稼働中のインフラには影響がないことを強調し、稼働中のウォレット、取引システム、顧客残高はいずれも無事であり、ユーザーの資金は分離されたコールドウォレットで保護されていると述べた。この区別は重要だ。不足分は個々の顧客口座ではなく、取引所自身の帳簿に計上された。

今回の公表は、ブロックチェーン調査業者が指摘した不審な資金流出をめぐる当初の否定に続くものだ。2025年7月の侵害を最初に指した一人であるオンチェーン調査業者のZachXBTは、廃止済みアドレスに関する活動についての取引所の説明に公に疑問を呈していた。CoinDCXの最高経営責任者（CEO）Sumit Guptaは当初、これらの報道を誤報と位置付けていた。

2018年にSumit Gupta氏とNeeraj Khandelwal氏によって設立されたCoinDCXは、インド最大級の暗号資産取引所である。2025年7月、流動性供給に使用されていた同社の内部口座の一つから約4,400万ドルが流出した。当時、同社は顧客ウォレットは影響を受けておらず、損失は自己の資金で負担すると述べていた。侵害と入金回収の不具合を合わせると、同取引所が2件の事案で負担した損失は約6,000万ドルに達する。

この一件は、侵害後にアドレスが廃止された後であっても、レガシーなウォレットインフラの管理に伴う運用上およびセキュリティ上のリスクを浮き彫りにした。大規模なエクスプロイトの後、露出したアドレスを廃止することは対応の一部にすぎず、廃止済みのエンドポイントに届き続ける資金は依然として捕捉・処理される必要がある。CoinDCX自身の公表が、この工程を見逃したことのコストを示している。同取引所は廃止済みシステムを巡る監視と管理を強化すると述べているが、回収サービスがどの程度の期間停止していたかについては詳細を明らかにしておらず、現時点ではこれが主な具体的なフォローアップとなっている。