インドの仮想通貨取引所CoinDCXは25日、廃止済みの旧ウォレット基盤から1,599万USDT（約25億円、1ドル＝157円換算）が流出したと公式ブログで明らかにした。損失は全額を同社が負担する。利用者の残高に影響はないという。
流出したのは、2025年7月19日に公表した不正流出事件で侵害を受け、その後使用を停止していた旧運用ウォレット群だ。同社によると、21日に社内システムで異常を検知し、即時の対応で稼働中のウォレットと取引システムへの影響は防いだ。ところが翌日、オンチェーンデータと利用者の報告から不審な資金移動が判明。調査で、未知の脆弱性を抱えた旧基盤が被害を受けていたことが分かった。
2025年7月の事件では、提携取引所での流動性供給に使う社内運用口座が狙われ、約4,420万ドルが流出した。この際も損失は同社が負担している。
今回流出した旧ウォレットが廃止されるきっかけとなった、2025年7月の約4,420万ドル規模の不正流出事件を報じている。
旧アドレスに資金が残っていたのは、利用者の誤入金が原因だ。同社はアプリに表示する新アドレスを使うよう案内していたが、一部の利用者が廃止済みのアドレスへ送金を続けていた。
CoinDCXはこうした入金を救済するため、2段階の処理を運用していた。まず着金と同時に利用者の残高へ反映し、その後に別のサービスが本番のウォレットへ資金を移す（スイープ）仕組みだ。今回はこのスイープ処理が一定期間止まっており、入金が旧アドレスに溜まったまま流出した。米メディアのThe Blockによると、流出のうち最大の1件は1,581万9002USDTだった。
公表までの対応には、オンチェーン調査員のZachXBT氏らが疑問を呈している。不審な送金は、資産回収サービスFlashRescue共同創業者のDarcy氏が22日、トロン（TRX）ネットワーク上で指摘していた。しかし共同創業者のスミット・グプタ（Sumit Gupta）CEOは同日、X上で「CoinDCXのウォレットは侵害されていない」と投稿し、デマを広めないよう呼びかけていた。指摘されたのは2025年7月の事件で侵害済みの旧アドレスで、ハッカーが再利用しているとして「誤報のようだ」とも述べていた。同社の公式アカウントも、指摘を「誤解を招く」と反論していた。
その後ZachXBT氏が、当該アドレスの1つは2026年4月と5月にも現行のホットウォレットへ入金を移していたと指摘すると、グプタ氏は調査中で利用者資金に損失は出ないと応答した。CoinDCXも同日、スイープ処理の不具合で生じた運用上の損失を同社が負担したとX上で認めていた。
同社はブログで、旧基盤の精査と経緯の確認に時間を要したと説明し、「もっと積極的に動けた」と認めた。残存システムの監視を強めるとともに、旧アドレスの維持には期限があることを利用者に周知する方針だ。
取引と入出金は直近72時間、停止や出金制限なく続いているとしている。
同社では今年、ほかにも問題が起きている。3月にはグプタ氏と共同創業者のニーラジ・カンデルワル（Neeraj Khandelwal）氏が、投資詐欺の被害届を受けたインド警察に逮捕された。CoinDCXは、同社を装った偽サイトによる詐欺で、創業者は関与していないと反論。現地報道によると、ターネーの裁判所は数日後、両氏に嫌疑を裏付ける証拠はないとして保釈を認めた。
米大手取引所コインベースは2025年10月、インドと中東での事業拡大に向けてCoinDCXへの出資を発表した。出資額は非公表だが、グプタ氏は出資後の企業価値を24億5,000万ドルとしている。インドの競争委員会は同年12月、この少数株式の取得を承認した。