インド最大手の暗号資産取引所は、オンチェーン調査者が約1600万ドルの不審な送金を指摘したことを受け、セキュリティ侵害を受けていないと否定した。これにより、ブロックチェーン上の観察と同プラットフォームの財務活動に関する公式説明との間に、公的な食い違いが生じている。

指摘された送金は、その規模とタイミングにより即座に注目を集めた。CoinDeskの報道によれば、ブロックチェーン調査者がウォレットの資金移動を公に特定し不審なものと特徴づけた一方、取引所はハッキングは発生していないと否定して反論した。CoinDCXの1600万ドルハッキング疑惑をめぐって争われている具体的な論点が、この事案でまさに何が争われているかを示している。

オンチェーン調査者が指摘したこと──そして未検証のままのこと

ブロックチェーン調査者は合計約1600万ドルのウォレット移動を特定し、不審なものと特徴づけた。これらの送金が注目を集めたのは、初期報告時点で送金先アドレスや承認状況が独立に確認されたためではなく、その規模とタイミングのためである。

オンチェーンデータは改ざん不能だが、自らを説明するものではない。取引所ウォレットからの大口送金は、エクスプロイト、日常的なコールドストレージのリバランス、カストディアルな移動、または店頭(OTC)決済を表している可能性がある。取引所は、引き出しに対応するインターネット接続のホットウォレットとオフラインのコールドストレージアドレスにまたがって準備資産を保有しており、両者間の移動は財務運営の通常の一部である。特定のトランザクションハッシュに紐づくウォレットの帰属と検証済みの送受信関係がない限り、いかなる送金も「不審」と描写することは確認された事実ではなく推論を反映したものにすぎない。

執筆時点で、指摘されたウォレットを確認済みの不正送金に結びつける独立したブロックエクスプローラーの記録は、公の報道で引用されていない。取引所側も、その説明をオンチェーンで検証できる事後のウォレット監査や取引ログを公表していない。検証可能なオンチェーン証拠が公表されるまで、1600万ドルという数字は確認済みの損失額ではなく、指摘された活動の主張された規模として扱われるべきである。

取引所がハッキングを否定する理由

取引所は、これらの送金がセキュリティ侵害以外のものであるとして否定の立場を示した。その立場は、本レポートの時点で第三者セキュリティ企業や公のオンチェーン照合によって独立に裏付けられていない。

従来の意味でのハッキングを構成せずに観察された送金を説明し得る、3つの異なるシナリオがある。コールドウォレットとホットウォレット間の承認済みの内部移動、第三者パートナーに関連するカストディアルな移動、またはコンプライアンス主導の資産分離である。いずれも運用上は特筆すべきことではないが、取引所からの追加の開示がなければ、オンチェーン観察の層ではエクスプロイトと区別がつかない。

信頼できるインシデント更新情報は、送金元ウォレットアドレスと取引所内部の資金管理におけるその分類、送金先アドレスとその所有者、移動の承認履歴、そして移動中または移動後のいかなる時点でユーザー残高に影響があったか否かについて言及する必要がある。これらの開示がない限り、その否定はカストディリスクを監視するユーザーにとってほとんど何も解決しない。

開示のギャップ

中央集権型取引所はデフォルトで不透明なカストディモデルで運用されており、明示的な準備金証明やウォレット照合データなしには、特定のインシデントへのユーザーのエクスポージャーを評価することが困難である。オンチェーンの透明性に慣れたDeFiネイティブのユーザーにとって、この摩擦はとりわけ大きい。準備金証明の証明書類は、プラットフォームが特定のスナップショット日時点での保有資産を暗号学的に示すものであるが、それ自体ではウォレット間の個々の送金を説明するものではなく、だからこそトランザクション単位の照合がより強固な開示形態となる。

検証のギャップを埋めるための具体的な開示には、次が含まれる。分類を明示したうえで指摘された送金に紐づくウォレットアドレスの公表、ユーザーがブロックエクスプローラーで独立に検証できるトランザクションハッシュ、当該期間に出金が影響を受けたか制限されたかに関する声明、そしてプラットフォーム準備金証明の地位が実質的に変化したかどうかの確認である。

同プラットフォームにアクティブな残高を持つユーザーにとっての実際的な確認事項は、出金機能が損なわれていないことの確認と、公式コミュニケーションのステータス更新の監視である。未確認の主張に反応することにはそれ自体リスクが伴う。特にボラティリティの高い状況では、パニックによる出金が、根底にあるセキュリティ事象とは無関係に流動性ストレスを生み出しうる。

事案が未解決の間にユーザーが注視すべきシグナル

最も直接的なシグナルは出金処理時間である。プラットフォームが実際にカストディの問題を抱えている場合、出金の遅延や制限は通常、公式の承認に先立って表面化する。2つ目のシグナルは、既知の取引所ホットウォレットのオンチェーン残高である。相応のコールドストレージからの入金で相殺されない持続的な残高減少は、日常的なリバランスという説明と矛盾する。

この事案は、インドの暗号資産取引所インフラが高まる監視下に置かれ、地域のプラットフォームがカストディ分離や報告に関するコンプライアンス要件を乗り越えているさなかに発生した。国際取引所による直接INRレールの拡大がインド市場への競争圧力を国内プラットフォームに加えており、競争がより少ない環境と比べて、信頼と透明性のシグナルがユーザー維持にとってより重要な意味を持つようになっている。

ユーザーにとっての中核的なリスクは、1600万ドルという数字そのものではなく、それが示す情報の非対称性である。公のブロックチェーン上の観察と取引所の公式声明が食い違う場合、立証責任はプラットフォーム側にある。検証可能な照合が公表されるまで、中央集権型取引所における資産預け入れは、そのプラットフォームが自らのウォレット活動をオンチェーンの精度で説明できるようになるまで、定量化されていないテールリスクを伴うものとして扱うことが適切な姿勢である。

出典:CoinDesk、DefiLiban