インドの暗号資産取引所CoinDCXは、プラットフォーム関連ウォレットから約1,600万ドルのUSDTが移動したことを受け、入金処理システムの失敗を認めた。同社は当初、不審なアクティビティは放棄されたアドレスのみに関連するとしていたが、この説明を撤回した。

10月22日のこの認め方は、2025年7月の4,400万ドルのセキュリティ侵害以降、指摘されたウォレットは非アクティブだったとする同取引所の主張に異を唱えたブロックチェーン調査者ZachXBTによる指摘に続くもの。CoinDCXは現在、これらのアドレスに入金が続き、資金を回収するプロセスがある期間失敗していたことを認めている。

同社は、影響を受けた顧客には入金が付与されたこと、運用損失は社内で吸収されたこと、そして運用中のカストディインフラに保管されている資産は安全であることを主張している。

約1,600万ドルのUSDTがTRONウォレットを経由して移動

不審な送金は10月21日に始まり、約1,599万USDTと5,784 TRXがCoinDCXに関連するアドレスから新しく作成されたTRONウォレットに移動した。

ブロックチェーンセキュリティ研究者のDarcyは最初にこの取引にフラグを立て、複数の入金アドレスおよび以前に同取引所に帰属していたウォレットからの金を特定した。最大の単一取引は、1つの入金アドレスから1,582万USDTが流出したものだった。受取ウォレットはその後、資金を複数のアドレスに分散させ、かなりの額が最終的にBinance、OKX、Gateに関連するアカウントに到達した。

ブロックチェーン分析企業Bitqueryによる詳細な取引の再構築により、2025年7月のインシデント後に引き続き入金を処理していたアドレスを含む、約40の影響を受けたウォレットが特定された。10月22日までに、約963万ドルが特定された取引所の入金アドレスに到達し、Bitqueryの分析時点でさらに228万ドルが7つの下流ウォレットに残っていた。

ZachXBT、CoinDCXの当初の否認に異議

CoinDCXは当初、この指摘を拒否し、フラグが立てられたアドレスは2025年1月に作成され、以前のセキュリティインシデントで侵害された後、使用が中止されたものだと説明した。共同創業者兼CEOのSumit Guptaは別に、活動中の会社または顧客のウォレットから影響を受けたアドレスに資金が送金されたことはないと主張した。

ZachXBTはその説明に異を唱え、以前の侵害後も数か月間、同取引所の運用インフラに接続されたままだったTQKJQで始まる入金アドレスを特定した。このアドレスは取引手数料用のTRXを受け取り続け、2026年4月と5月の時点でもCoinDCX関連のホットウォレットに入金を転送していた。Bitqueryは、1月から3月の間にこのアドレスに蓄積され、10月のインシデント中に移送される前の約1,582万ドル相当の88件の入金を特定した。

同取引所の改訂された説明は、使用中止の指示にもかかわらず、ユーザーが廃止されたアドレスに暗号資産を入金し続けていたことを認めた。CoinDCXはこれらの入金を回収する自動プロセスを維持していたが、スイーピング（一括回収）がある期間失敗し、運用損失が発生したことを認めた。

この不足の背後にある仕組みは、中央集権型取引所にとってよく知られた運用上のリスクである。帳簿上廃止された入金アドレスでもユーザーの資金を受け取り続けることが多く、プラットフォームは通常、自動スイープを実行して迷入の金を回収し、顧客残高に計上している。スイーピングプロセスが失敗すると、取引所は実際には回収していない資産についてユーザー残高を負うことになり得る — CoinDCXがユーザーに転嫁せず社内で吸収したと説明するのがこの差額である。

その後、ZachXBTは取引所の透明性の欠如を非難し、処理の失敗が認められる前に取引の証拠を最初に拒否したことを批判した。この一件は、公開ブロックチェーンデータが果たすアカウンタビリティ（説明責任）の役割も浮き彫りにした。CoinDCXの当初の否認は、侵害後数か月経ってもインフラに結びついたままだった入金アドレスといった基盤となるオンチェーンの証拠が、独立系の調査者や分析企業によって記録・公開されるまで維持されていた。

CoinDCX、顧客に入金が付与され資金は安全と主張

改訂された立場によると、廃止されたアドレスに送られたすべての顧客入金は、対応する資産が正常に回収されなかった場合でも、ユーザーアカウントに付与されたという。同社は、現在の運用ウォレットは侵害されておらず、顧客資産は分離されたコールドストレージで保護されていると主張している。取引およびその他の取引所サービスは正常に運営を続けている。ユーザーにとって、この一件は、廃止されたアドレスへの入金が、付与と回収の両方において取引所の内部プロセスに依存していることも浮き彫りにしている。

同取引所は以前、2025年7月のセキュリティ侵害に伴い、流動性供給に使用されていた内部運用アカウントが攻撃者に侵害された際、約4,400万ドルの損失を吸収していた。CoinDCXはまた、カストディ（資産保管）の体制について以前にも疑問に直面し、インド人の顧客資産が海外法人に移動したという指摘を否定していた。

今回の論争は、インドの中央集権型暗号資産取引所に対する監視が続く中で発生している。インドでは、2億3,000万ドルの別のセキュリティ侵害で顧客が返済を待たされた後にWazirXの再編が行われた。ZachXBTまた、盗難暗号資産の報告への対応をめぐり、入金アカウントが十分に迅速に凍結されなかったという指摘を含め、以前にもKuCoinを批判している。

CoinDCXは、影響を受けた入金残高の完全な勘定照合、運用損失の最終額、または移送されたUSDTをめぐる回収の取り組みの状況について、公表していない。顧客への入金付与に関する保証は、同取引所の内部会計記録に対して独立に照合されていない。こうした未解決の項目 — 完全な勘定照合、最終的な損失額、回収に関する最新情報 — は、状況が進展する中で注目すべき主要な開示事項である。