インドの暗号資産取引所CoinDCXは、2025年7月のセキュリティ侵害で被害を受けたウォレットアドレスに関する1,599万ドルの損失を確認しました。同社によると、運用上の不具合により顧客の入金が旧式のウォレットに蓄積し、資金がさらなる損失にさらされる状態になっていたといいます。

10月25日に発表した声明の中で、同取引所は損失を全額負担すると述べ、顧客資金は保護されており、稼働中の取引インフラには影響がなかったと説明しました。

自動スイープの故障が1,599万ドルの損失を引き起こす

CoinDCXは2025年7月のサイバー攻撃後、旧ウォレットインフラを廃止しました。しかし、更新された入金情報の使用を案内していたにもかかわらず、一部の顧客は退役したアドレスに暗号資産を送金し続けていました。

こうした顧客を保護するため、同取引所は退役アドレスから安全なウォレットへ入金を移す自動スイープサービスを運用していました。このシステムが一定期間機能せず、資金が侵害されたインフラ上に蓄積することになりました。同社は故障の期間や原因を明らかにしていません。

ブロックチェーン上で確認済みの送金は取り消せないため、退役したアドレスに資金を送った顧客は、その回復を運営者に完全に依存することになり、これこそがスイープシステムが埋めるべきギャップです。

同社は10月21日に不審なアクティビティを検知し、翌日に不規則なブロックチェーン取引の調査を開始しました。調査の結果、スイープの故障により1,599万USDT（約1,599万ドル相当）の損失が発生したことが判明しました。USDTは米ドルに連動するステーブルコインであり、トークンの損失はそのままドル額に反映されます。

CoinDCXは財務的影響を負担し、影響を受けた顧客の入金にクレジットを付与したと述べ、現在のウォレット、取引システム、出金サービスが引き続き正常に運営されていると強調しました。

オンライン調査担当者が以前の説明に疑問

今回の開示は、以前CoinDCXに関連付けられていたアドレスをめぐる不審な取引をブロックチェーン調査者が指摘したことに続くものです。盗難暗号資産の追跡で知られるオンライン調査担当者のZachXBTは、影響を受けたウォレットはすでに稼働していないという同取引所の当初の説明に疑問を呈し、2025年の攻撃後に少なくとも1つの侵害されたアドレスがCoinDCXのインフラとやり取りを続けていたことを示す取引アクティビティを指摘しました。

共同創業者のSumit Gupta氏は当初、新たなセキュリティ侵害の可能性を否定しました。その後、同取引所は運用上の不具合を認める一方、稼働中のウォレットは侵害されていないと主張しました。

2025年のハッキング後のセキュリティ懸念

今回の件は、CoinDCXの2025年7月のサイバー攻撃に続くものです。この攻撃では、内部の運用アカウントから約4,400万ドルの損失が発生しました。当時、同取引所は顧客資産に影響がないと説明し、会社の準備金を通じて損失を補填する意向を示しました。2025年の2件のインシデントを合わせると、同社の損失は約6,000万ドルに達します。

今回の開示は、退役した暗号資産の入金アドレスと自動資金管理システムに伴うリスクを浮き彫りにしています。取引所が侵害されたインフラを置き換えた後でも、旧アドレスに届き続ける入金は、スイープされるまで取引所の監視対象となるセキュリティ境界の外側に位置するため、さらなるリスクを生み出す可能性があります。

CoinDCXは、暗号資産を送金する前に公式アプリまたはウェブサイトで入金アドレスを確認するよう顧客に呼びかけています。