インドの暗号資産取引所CoinDCXは、2025年のハッキング後に使用を中止したウォレットから顧客の入金を移管する社内プロセスが失敗した結果、1,599万USDT（約1,600万ドル）の損失を確認した。

この認識により、共同創業者兼CEOスミット・グプタ氏による「セキュリティ侵害の報道は誤報だった」とする以前の発言が撤回された。CoinDCXは公式ブログ記事の中で、資金が同社のウォレットインフラから流出したこと、および同社が損失を自社で吸収したことを明らかにした。顧客の資金と残高は安全であると改めて強調している。

資金は10月21日、Tronネットワーク上で移動した。CoinDCXはこの一件を、昨年の大幅に規模の大きいハッキング後に使用を中止したウォレットから残存する顧客入金を掃き出すために設計された社内プロセスの失敗に起因すると説明している。使用中止されたアドレスには引き続き入金が届いていたが、自動送金システムがそれらの資金を取引所の有効なウォレットへ移すことに失敗した。使用中止されたアドレスも公開ブロックチェーン上では有効なままであるため、そこに送られた入金はオンチェーンで可視のまま残る。研究者やArkhamトラッカーが資金移動後に流出にフラグを立てることができたのは、まさにこの可視性によるものである。

今回の開示は、数日にわたる食い違う主張の末に実現した。ブロックチェーン研究者とArkhamトラッカーが約1,600万ドルの不審な流出にフラグを立てた後、グプタ氏はX上で、CoinDCXのウォレットは「侵害されていない」と述べた。フラグの立ったアドレスは2025年7月に侵害されたものであり、今回の動きは「誤報」に見えるとの見解を示した。

オンチェーン調査者のZachXBTはこの説明に異を唱え、当該ウォレットは4月と5月になっても顧客の入金をCoinDCXの現行ホットウォレットへ送金し続けていたと指摘した。さらに、Xへの投稿で顧客に対し資産の出金を促した。

Withdraw all funds from CoinDCX if you value your assets. Its co-founders are clowns running a circus. They publicly and privately denied a theft of its assets occurred meaning they straight up lied or are negligently incompetent. Later they disclosed the $16M theft and… pic.twitter.com/uEmtogPonq — ZachXBT (@zachxbt) October 22, 2026

X post

今回の損失は、インド最大級の暗号資産取引所にとっての困難な時期にさらに追い打ちをかけるものである。CoinDCXは2025年7月に約4,400万ドル規模のハッキング被害を受けており、同社はサーバー侵害が原因だったとしている。この一件では、盗まれた資金の回収を目的とした賞金捜査が展開され、その後、攻撃に関連して従業員1名が逮捕された。

2件のインシデントを合わせると、損失は約6,000万ドルに達する。今回のインシデントに関係したウォレットは、前回の侵害の遺産だった。CoinDCXは当該アドレスの使用を中止していたが、残存する入金はそこに届き続けていた。自動送金プロセスの破綻により、これらの資金が危険にさらされることになった。

CoinDCXは今年、その他の問題にも直面している。詐欺やなりすましスキャムをめぐる疑惑により警察の調査が行われたほか、2025年のハッキング後に創業者はCoinbaseとの買収協議に関する報道を否定した。一方、Coinbaseは独自に南アジアと中東への事業拡大に動いている。

CoinDCXは調査の進展に伴い追加の詳細を公表するとしており、ユーザーの残高には影響がないことを繰り返し強調している。自動送金がなぜ失敗したのか、なぜ1年以上前に使用を中止したアドレスに残存入金が届き続けていたのかは、同社がまだ答えていない疑問の一つである。