CoinDCX、旧ウォレット侵害により1,599万ドルの損失を報告、Tetherが220万ドルを凍結
重要ポイント
- •CoinDCXは、2025年7月19日のセキュリティインシデントで侵害された旧ウォレット基盤から約1,599万USDTを失い、顧客に負担を求めるのではなく損失を全額自社で吸収すると述べた。
- •自動スイープサービスの失敗により入金が廃止アドレスに蓄積し資金がさらされた一方、アクティブなウォレット、取引システム、顧客のコールドストレージは影響を受けなかった。
- •Tetherは流出に関連するウォレットをブラックリストに登録し、約220万ドル(盗まれた資金の約13.8%)を凍結したが、凍結は回収を保証するものではなく、残りの資金は依然追跡中である。
- •同取引所は資金の引き出し手法を開示しておらず責任者も特定していないほか、インシデントの公表においてより先手的に対応できた可能性があったと認めている。
- •CoinDCXはレガシーシステムの監視と統制の強化を計画し、取引ごとに最新の入金アドレスを確認するようユーザーに勧告した。取引所は一般的に旧アドレスに送られた資産について責任を負わないと警告している。
インドの暗号資産取引所CoinDCXは、2025年に使用を中止した旧ウォレット基盤から資金が流出し、約1,599万USDTの損失を被ったと報告した。同社は損失を全額自社で吸収し、顧客に負担は生じないとしている。
同取引所によると、アクティブなウォレットと取引システムには影響がなかった。顧客資産は引き続き別のコールドウォレットで保管されており、取引、入金、出金は中断なく継続している。CoinDCXは、顧客の暗号資産は安全であり、影響を受けておらず、全額が確認済みであると説明している。
このインシデントは、当初の侵害にとどまらないリスクも浮き彫りにした。廃止された入金アドレスは、ユーザーが資金を送り続ける限り有効な経路として残り、そこに蓄積した資産は、スイープ(回収)されるまで取引所の主要セキュアウォレットの外部に置かれることになる。
CoinDCXウォレットインシデントの経緯
CoinDCXは、2026年10月21日に自社システムで異常なアクティビティを初めて検知したと述べている。同社は、既存の統制により、アクティブなウォレットと取引システムへの影響は回避されたとしている。
Update on the on-chain Wallet Activity – 21st October 2026 full update on the recent on-chain activity, what happened, and what it means for you. User funds remain safe, and trading and withdrawals continue as usual. Read the full update: — CoinDCX (@CoinDCX) October 25, 2026
翌日、同取引所はブロックチェーンデータ上の不規則な資金移動を特定し、ユーザーからも関連する報告を受けた。その後の調査により、このアクティビティは、それまで未知の脆弱性を含んでいた旧ウォレット構成に関係していることが判明した。
このウォレット基盤は、2025年7月19日のセキュリティインシデントで侵害されていた。CoinDCXは、侵害後に当該基盤の使用を中止したと説明している。ただし、一部のユーザーはCoinDCXアプリに表示される更新後のアドレスではなく、旧アドレスへの入金を続けていた。
同取引所は、ユーザーが資金を失わないよう、こうした入金の処理を継続していたとしている。入金プロセスは2つの別個のステップで構成されていた。まず資金の到着後にユーザーのアカウントへ入金が計上され、その後、別の自動サービスがそれらの資金を「スイープ」して取引所の主要セキュアウォレットへ移動させていた。
CoinDCXは、このスイープサービスが一時的に機能しなくなったと説明している。その結果、入金が旧アドレスに蓄積し、その後のアクティビティ発生時に資金がさらされることとなった。同社は、ウォレットから資金を引き出す手法の全容を開示しておらず、責任のある当事者も特定していない。これらの未解明の点は、追加の資金を追跡できるかどうかを左右する重要な要素であり続けている。
CoinDCXの10月25日の更新はCoinDCXの公式サイトで閲覧でき、同社の発表はXでも公開された。
Tetherが資金の一部を凍結
10月24日および25日の報道によると、Tetherは流出に関連するウォレットをブラックリストに登録した。USDTの発行体であるTetherは、同トークンを保有するウォレットをブロックする権限を持つ。この統制はトークンレベルで機能するため、資金が取引所自体の基盤から移動した後でもUSDTを動かなくさせることができる。
ブロックチェーン分析企業AMLBotによると、約220万ドルが凍結された。これはCoinDCXの報告された損失の約13.8%に相当する。凍結により資金の移は防止されるが、回収が確定したわけではない。CoinDCXが回収を確認する必要があり、残りの資金は依然として追跡が求められている。
CoinDCXは、ダウンタイム、出金制限、取引の混乱なしに72時間運用を継続したとしている。同社はまた、インシデントの公表において「より先手的に対応できた可能性があった」と認め、状況を完全に把握できるまで更新の公開を待ったと説明した。
同取引所は、レガシーシステムをめぐる監視と統制を強化する計画だとしている。また、旧入金アドレスは限られた期間のみ保持されることを定期的にユーザーに注意喚起する方針だ。この事例を注視する読者にとっての残る論点は、残りの資金のより多くが特定または凍結されるかどうか、未公開の引き出し手法が公表されるかどうか、そしてCoinDCXが回収を確認するかどうかである。
10月25日の更新でCoinDCXは、入金のたびにアプリまたはウェブサイトで最新の入金アドレスを確認するようユーザーに勧告した。同取引所は、旧アドレスへの資金送付は極めてリスクが高く、取引所は一般的に旧アドレスに送られた資産について責任を負わないと警告している。今回の事例は、この警告に具体的な形を与えた。自動スイープが停止した際、廃止アドレスに送られた入金は旧アドレスに留まり、さらされることになった。
元の記事はBlockonomiが公開した。
