CoinDCX、旧入金アドレスから1599万USDT流出 損失は自社で負担

インドの暗号資産取引所CoinDCXは10月25日、公式ブログで1599万USDT（テザーが発行するドル連動型ステーブルコイン）を失ったと明らかにした。資金が流出したのは、昨年7月のハッキングで侵害され、使用を停止した旧入金アドレスで、同社は損失を自己資金で負担したとしている。22日にはスミット・グプタ最高経営責任者（CEO）がXで「誤報のようだ（sounds like a false alarm）」と述べていた。

「誤報」から「運営上の損失」へ

異常な送金を最初に公表したのは同社ではなく外部の調査者だった。同社は後に、21日にシステムで異常を検知していたと明らかにした。時刻は韓国時間。

1. 2025年7月19日CoinDCXがセキュリティインシデントを公表。この際に侵害された旧運用ウォレット基盤は廃止された。
2. 2026年10月21日CoinDCXがシステムで異常を検知したと、25日のブログで明らかにした。
3. 22日午前0時35分資金追跡企業FlashRescueの共同創業者Darcy氏によると、この時刻にCoinDCXのウォレットから1つのトロンアドレスへ約1599万USDTと5783.81TRXが移された。
4. 22日午後2時30分Darcy氏がXでこの送金を公表。最大の1件は1581万9002USDTで、資金は何度も分割されてバイナンス・OKX・Gateの入金アドレスへ送られたという。
5. 22日午後5時10分グプタCEOは「CoinDCXのウォレットは侵害されていない」とし、ハッカーが旧アドレスを再利用しているようだと返信。4分後には同社アカウントも「ユーザー資金は安全だ」として、関連する主張は「誤解を招く」と投稿した。
6. 22日午後8時47分同社は旧アドレスへの入金を移す処理が一定期間機能せず、「一部の運営上の損失」が出たと説明を改めた。金額は明らかにしなかった。
7. 25日ブログで損失が1599万USDTだったと初めて明らかにした。

入金は即時反映、資金の移動は後から

CoinDCXによると、廃止したアドレスに送金を続けるユーザーがいた。同社はアプリに新しいアドレスを表示し、旧アドレスを使わないよう案内していたが、誤って届いた資金を放置しないよう2段階で処理していた。旧アドレスに資金が届くと直ちにユーザーの口座残高に反映し、別の「スイープ（sweeping）」サービスがその資金を同社のメインウォレットへ移す仕組みだ。

今回はこのスイープサービスが一定期間停止し、その間に旧アドレスに入金がたまった。同社は旧ウォレット基盤に「未知の脆弱性」があったとしている。ユーザー残高はすでに反映済みのため顧客の入金残高に変化はなく、顧客資産は分別管理されたコールドウォレット（ネットから切り離した保管ウォレット）にあるというのが同社の説明だ。過去72時間、取引停止や出金制限もなかったとしている。

CoinDCXは「より積極的に対応できた」としつつ、全体の経緯を確認してすぐに公表したと説明した。今後は旧システムの監視を強化し、旧アドレスの維持は期限付きの対応であることをユーザーに定期的に周知するとした。

ZachXBT氏、事故後も10カ月使われていたと反論

オンチェーン調査者のZachXBT氏は、同社の説明と異なる内容を示した。問題の入金アドレスは昨年の事故後も10カ月間、流動性提供者（LP）に使われ、今年4〜5月にもユーザーの入金を同社の現在の公開ホットウォレットへ移していたと投稿。これはユーザー入金1580万ドルを同社が把握できていなかったことを意味すると主張した。

グプタCEOはZachXBT氏の指摘に「把握している」として調査を続けていると返信し、「ユーザー資金の損失は生じない」と述べた。ZachXBT氏は同日夜、ユーザーにCoinDCXから資金を引き出すよう呼びかけ、同社のために6桁（数十万ドル規模）の資金凍結を手助けしたとも付け加えた。米メディアThe Blockによると、CoinDCXの広報代理店はグプタCEOの以前の発言に関する質問に対し、ブログ記事を案内するにとどめた。The Blockは昨年7月の事故の被害額を約4400万ドルと伝えている。

ウォン換算で約214億ウォン

韓国時間26日午前10時30分ごろ、アップビットのウォン建て市場でUSDTは1338ウォン、ビッサムでは1337ウォンで取引された。アップビットの価格で換算すると、今回の損失1599万USDTは約214億ウォンになる。同時に流出した5783.81TRXは、同時刻のアップビット価格（441ウォン）で約255万ウォン相当だ。

CoinDCXは韓国のウォン建て取引所と直接の関係はない。CoinDCXは、入金のたびにアプリやウェブサイトで最新の入金アドレスを確認するよう呼びかけている。