ブロックチェーン調査担当者らが、報道された1600万ドルのセキュリティインシデントに関するCoinDCXの説明に公に異議を唱えている。インドの暗号資産取引所が、2026年10月22日に特定された不審なウォレット活動の発生源と時期について誤って伝えたと主張しているのである。論争の焦点はTRONベースの入金アドレスであり、公表された2025年7月のハック後にこのアドレスを通じて移動した資金が適切に説明されていたのか、それともユーザーに知らされずに回収されていたのかという問題である。

この主張はProtosでも報じられている。

調査担当者らの主張

セキュリティ調査グループSalusと活動する調査担当者Darcyは、CoinDCXのカストディ基盤に関連すると考えられるアドレスから約1600万ドルの不審な資金移動を指摘した。

中心となるウォレットは、文字列TQKJQで識別されるTRONベースのアドレスである。オンチェーン調査担当者のZachXBTによれば、この入金アドレスは、取引所が以前に認めていた公表済みの2025年7月のセキュリティインシデントの後も、流動性プロバイダーによって10か月間アクティブに使用され続けたという。さらに同氏は、このアドレスがガスを受け取り、2026年4月と5月の時点でユーザーの入金をCoinDCXの現行の公開ホットウォレットへ回収（スイープ）していたと指摘している。

この論争を追う読者にとって用語の確認は重要である。入金アドレスは顧客資金の受け入れ先となり、ホットウォレットは取引所が日々の出金に使用する残高を保管し、ガスとはブロックチェーンが送金処理のために徴収する手数料である。スイープとは資金をあるアドレスから別のアドレスへまとめる操作であり、流動性プロバイダーとは取引所の市場に取引の深みを供給する外部企業のことである。

ZachXBTはX上で以下のメッセージを公開し、CoinDCXに直接向けた：

CoinDCX deposit address TQKJQ was in use by a LP for 10 months after your July 2025 and swept user deposits + received gas as recent as April & May 2026 to your current public hot wallet. Meaning $15.8M in user deposits was unaccounted for by your team. Why are Indian… pic.twitter.com/S8WYtGNIjz

— ZachXBT (@zachxbt) October 22, 2026

この投稿はXおよびこのXへの直接リンクから閲覧できる。

ZachXBTは1580万ドルのユーザー入金がCoinDCXのチームによって説明されていないと述べた。この数値はTQKJQウォレットの活動に関する彼のオンチェーン上の解釈を示すものであり、第三者によるフォレンジック審査を通じた独立した監査や確認は行われていない。

未検証の部分

中心的な主張、すなわち2026年10月の資金移動が以前に侵害されたウォレットに関連する活動ではなく、新たなまたは継続中のハックに該当するという主張は、争われており未確認のままである。入手可能な証拠には、関係ウォレットの所有者帰属を証明する独立検証済みのブロックエクスプローラー取引データは含まれていなかった。公開台帳はアドレス間の送金を記録するが、ウォレットを誰が管理しているかは特定しない。帰属の確定には、取引所、その取引相手、またはフォレンジック審査者による確認が必要である。

CoinDCXは、2026年10月の資金移動に特化したフォレンジックの事後検証や規制当局への届け出を公表していない。したがって、入手可能な証拠からは、新たなハックが発生したことや、CoinDCXが意図的にユーザーを誤導したことは立証されていない。

CoinDCXの対応

CoinDCXは、当該アドレスと取引に関する主張を誤解を招くものだと公に述べた。同取引所は、指摘された活動は2025年初頭に作成され、2025年7月のセキュリティインシデントで侵害された後、廃止されたアドレスに関連するものだと説明した。また、侵害されたウォレットアドレスへの入金を行わないようユーザーに通知していたとも述べた。

フォローアップの声明でCoinDCXは、TQKJQウォレットの活動はそれら2025年初頭のアドレスに関連していると述べ、調査担当者らが指摘するオンチェーン上の資金移動は新たな侵害ではなく、すでに公表済みの以前のインシデントに起因するという立場を維持した。

CoinDCXの声明は同社のXアカウントおよびフォローアップ投稿から確認できる。同取引所は日付順の取引突合を提供しておらず、ZachXBTが言及した流動性プロバイダーの身元も公表していない。

意見の相違は主に時期と資金の流れに関するものである。CoinDCXの説明では、関連する侵害は2025年7月に発生し、影響を受けたアドレスはインシデント後に廃止されたことになる。一方、ZachXBTのオンチェーン上の解釈では、資金移動、ガスの送金、ホットウォレットとの相互作用は2026年5月の時点まで続いていたことになる。この解釈が正しければ、取引所の公開開示はウォレットの運用ライフサイクル全体を網羅していなかったことになる。
この特定の事実上の争点について、双方とも検証可能な公開資料によって解決していない。

CoinbaseによるCCI（インドの競争当局）承認済みのCoinDCX持分取得が最近行われたことで、このインシデントの重要度は増している。機関パートナーは進行中のデューデリジェンスの一環として、CoinDCXのセキュリティ体制と開示基準を精査するとみられる。承認の詳細については、CoinbaseによるCoinDCX持分取得承認の報道を参照。

CoinDCXユーザーにとっての論点

2025年と2026年にCoinDCX上でUSDTやその他の資産を保有していたユーザーにとって、この論争は、取引所が取引レベルで回答していないカストディおよび会計上の疑問を投げかけるものである。USDTはTRONを含む複数のパブリックブロックチェーン上で発行されているドル連動型ステーブルコインである。CoinDCXの「入金しないでください」という注意喚起は、特定のウォレットアドレスが侵害されていたことを同社が把握していたことを示唆する。しかし、公開記録からは、それらのアドレスに資金を保有していたユーザーが個別に通知されたのか、補償されたのかは確認できない。

セキュリティインシデントの開示では一般に、影響を受けたウォレットアドレスの特定、資金エクスポージャーの概算、侵害と対応の時系列の提示が行われる。ZachXBTの分析が示唆するように、TQKJQアドレスが2026年4月と5月にもユーザーの入金をCoinDCXのホットウォレットへ送り続けていた場合、その期間に入金したユーザーは、取引所が内部的に侵害済みと分類していたウォレットへ資金を送っていた可能性がある。

内部のルーティング制御によってそれらのユーザーが保護されていたのか、追加のリスクにさらされていたのかについて、公開されているCoinDCXのコミュニケーションでは明らかにされていない。

より広い市場環境も透明性の問題に圧力を加えている。恐怖・強欲指数は68と「強欲（Greed）」域にあり、当時の取引所ユーザーはより慎重というよりもリスク許容度が高かったことを示している。このような環境では、中央集中型取引所の開示不備が表面化した場合、ユーザーの警戒が薄れている分、評価面で重大な影響が生じうる。この指数はAlternative.meが公開している。

論争の解決に必要な証拠

関連するオンチェーン記録は、TRONの台帳上で公開され誰でも閲覧可能である。論争を完全に解決するには、調査担当者側と取引所側のいずれも未公表の複数の情報が必要である。

具体的には、特定のTQKJQアドレスについて、完全な取引履歴、タイムスタンプ、取引相手アドレス、USDT金額を示す検証可能なTRONエクスプローラーのエントリーが必要である。また、ZachBTが引用した流動性プロバイダーの身元と契約関係の解明も必要となる。最後に、CoinDCXがZachXBTの投稿で言及した2026年4月と5月のホットウォレットへの送金について、確認または具体的に反証する声明を示す必要がある。

最も重要な未解決の疑問は、CoinDCXの現行ホットウォレットが2025年7月以降にTQKJQアドレスから資金を受け取ったか否かである。オンチェーンデータでこれらの送金が確認されれば、アドレスは2025年7月のインシデント後に廃止されたというCoinDCXの説明は事実として不完全であることになる。

もう一つの未解決の問題は、インドの金融規制当局が2025年7月の侵害または2026年10月の資金移動に関するインシデント報告を受け取っているか否かである。入手可能な証拠からは、規制への届け出や執行措置は確認されていない。

中央集中型取引所がホットウォレットのカストディとセキュリティインシデントの開示をどのように扱うかも、この論争の評価に関わる文脈である。CeFiアグリゲーターと分散型取引所プロトコルの比較は、異なるカストディモデルについての文脈を提供する。このテーマに関する報道はこの比較記事で確認できる。

入手可能な証拠は、CoinDCXが虚偽を述べたという主張や、新たなハックが発生したという主張を立証していない。立証しているのは、CoinDCXが示したウォレット廃止の時系列と、ZachXBTが報告した2026年4月と5月のオンチェーン活動との間の未解決の食い違いである。

CoinDCXが取引レベルの突合を提供するか、第三者監査人がフォレンジック報告書を公表するまで、ユーザーと取引相手は完全な情報がないまま、カストディと開示に関するリスクを評価することになる。