インド最大の暗号資産取引所CoinDCXは、ブロックチェーン調査者が同取引所に紐づくアドレスから約1,600万ドルの不審な流出を確認したことを受け、現行ウォレットが侵害されたことを否定しました。

同取引所は、指摘された取引は2025年7月のハッキングで侵害され、以降使用されていない旧ウォレットアドレスに関係するとしています。しかし、少なくとも1人のオンチェーン調査者は、それらのアドレスのうち1つが2026年に入っても入金を受け付け、CoinDCXの現行ウォレットと連携し続けていたと反論しています。この対立こそが、今回の一件を単なる誤報以上のものにしています。すべては、取引所が「廃止済み」と呼ぶアドレスが実際の入金フローに接続されたままだったかどうかにかかっており、ハッカーが死んだアドレスを再利用したのか、それとも取引所側の運用ミスだったのかの違いです。

CoinDCXは、廃止アドレスから入金を回収（スイープ）するプロセスの一時的な不備が運用上の損失を招いたことを認め、影響を受けたユーザーへの補填を行ったうえで損失を吸収したと説明しています。

「最近の主張で言及されている取引は、2025年1月に作成された旧ウォレットアドレスに関するものです。これらのアドレスは2025年7月に侵害され、以降CoinDCXは使用していません。現在報告されている活動はこれらの旧アドレスに関連するものであり、CoinDCXとは一切関係がありません」と同取引所の広報担当者はCoinDeskに語りました。「現行のCoinDCXの中央アドレスおよびユーザーアドレスは影響を受けておらず、アクティブなウォレットからのCoinDCXの資金が侵害されたことはありません。」

不審な動きが浮上した経緯

懸念が持ち上がったのは水曜日で、XユーザーのDarcy氏が、CoinDCXのホットウォレットおよび複数の入金アドレスからの大規模な流出を指摘したことが発端でした。送金額は、ドル連動ステーブルコインのUSDTとTronのTRXトークンで合計約1,600万ドルに上りました。

CoinDCXのすべてのユーザーは、暗号資産を取所に送金するための固有の文字列である個人の入金アドレスを受け取ります。プラットフォームは定期的にこれらの入金を「スイープ」します。つまり、すべてが自社の管理下にある一箇所に置かれるよう、自社の主要ウォレットへ移動させるのです。その資金の一部は、日常的な出金に使用されるインターネット接続されたホットウォレットに送られ、残りはオフラインで保管されるコールドウォレットに移されます。スイープは中央集権型取引所の標準的な慣行であり、だからこそこのフローに異常が生じると、日常的な整理ではなくセキュリティインシデントの可能性として受け取られやすいのです。

Darcy氏によると、指摘された資金はすべて単一のTronアドレスに送金され、最大の1件の取引は15,819,002 USDTでした。そのアドレスはその後、資金を複数の異なるウォレットに分割しました。この投稿は流出を窃盗の疑いとして指摘し、取引所での新たなハッキングへの懸念を引き起こしました。

CoinDCXは以前、2025年7月に約4,400万ドルを狙った攻撃を受けています。

CEOは誤報と主張、調査者は反論

CoinDCXのCEO、Sumit Gupta氏はX上で反論し、2025年7月のハッカーが旧ウォレットアドレスを再利用しているように見えるとして、今回の一件を誤報と位置づけました。言い換えれば、同取引所の立場は、ハッキング後にこれらのアドレスを放棄しており、いまだに使用し続けているのはハッカーの方だというものです。

著名なオンチェーン調査者であるZachXBT氏は、その主張に疑問を呈し、TQKJQとラベル付けされたアドレスの少なくとも1つがまだ使用中であると述べました。

「CoinDCXの入金アドレスTQKJQは、2025年7月のインシデント後、LPによって10か月間使用され、ユーザーの入金をスイープし、2026年4月と5月に至るまでガスを受け取り、お前の現行の公開ホットウォレットに送金していた」と同氏は述べました。

平たく言えば、ZachXBT氏は、このアドレスが顧客の入金を集め続け、ことに入金し、こと春にはCoinDCXの現行ウォレットへ送金し続けていたと指摘したのです。LP（リクイディティプロバイダー、流動性提供者）とは、取引所に売買注文を供給する企業のことで、ガスとはブロックチェーン上でトークンを移動させる際に支払われる少額の手数料です。もしこの説明が裏付けられれば、取引所が描こうとしている「廃止済み」と「現行」インフラの明確な線が曖昧になります。これが今回の論争の核心です。

取引所、清掃プロセスの不備を認める

旧アドレスが放棄されたまま資金を扱っていたのではないかとの質問に対し、CoinDCXは、2025年7月のハッキング後、ユーザーに対しそのような侵害されたアドレスへ資金を入金しないよう警告していたと説明しました。同取引所は現在、これらのアドレスを「廃止済み（deprecated）」、つまり使用停止と呼んでいます。

「過去に通知を行ったにもかかわらず、一部のユーザーは最新のアドレスではなく、廃止済みの入金アドレスに資金を入金し続けました」と広報担当者は述べました。

同取引所は、スイープ処理はそのようなアドレスへの入金を捕捉するためのものであるものの、一定期間機能しなかったと説明しています。CoinDCXは、影響を受けたすべてのユーザーに補填を行ったと述べ、顧客資産はコールドウォットに保管されており、現行のアドレスは影響を受けていないと付け加えました。取引は通常どおり続いています。今後注目すべきは、さらなるオンチェーン上の記録がどちらの説明が正しいかを裏付けるか、そして2025年7月のインシデントから長期間にわたり廃止済みアドレスが入金をスイープし続けていた理由をCoinDCXがどう説明するかです。入金者にとって実践的な教訓は、取引所自身の説明にあります。資金はプラットフォームが表示している最新のアドレスにのみ送金すべきであり、廃止済みアドレスへの入金は、その清掃プロセスが機能することに完全に依存しているのです。