暗号資産取引所Coinsbuyが2026年8月9日、TRON（トロン）とEthereum（イーサリアム）の2チェーンを同時に狙った協調型攻撃を受け、約807万ドル相当の資金が流出しました。CoinDeskとオンチェーン分析者の調査によれば、被害額の約79%はインスタント交換サービス「FixedFloat」を経由して移動しています。本記事では公開されている事実をもとに、攻撃の流れ、資金追跡の状況、そしてDEX・取引所利用者が学ぶべき教訓を整理します。
何が起きたのか：2チェーン同時ドレインの概要
CoinDeskの報道（2026年8月10日付）によると、攻撃者は2026年8月9日、約1時間という短時間でCoinsbuyの複数ウォレットから資金を抜き取りました。オンチェーンのデータを分析したブロックチェーンセキュリティ研究者は、被害総額を807万ドルと算定しています。
特徴的なのは、攻撃がTRONとEthereumという異なる2つのブロックチェーンで「同時並行的」に実行された点です。一見すると別々の事象に見える2件の攻撃が、後述するクロスチェーン・スワッパーの利用によって、単一の攻撃者による一体の作戦だったと結び付けられました。
重要なのは、これは特定のDEXプロトコルのスマートコントラクトが破られた事案ではなく、中央集権型取引所（CEX）であるCoinsbuyの出金経路が悪用されたインシデントである、という点です。攻撃ベクトル（侵入経路）そのものは、本記事執筆時点でまだ特定されていません。
攻撃の時系列：5 USDTのテスト送金から始まった
公開された情報から、攻撃の流れは次のように再構成できます。
攻撃者はまず、5 USDTというごく少額のテスト送金を実行しました。これは経路が機能するかを確認する「試し打ち」だったとみられます。その直後、TRON上の8つのウォレットから、ドルペッグ・ステーブルコインであるUSDTを合計604万枚（約604万ドル相当）抜き取りました。
これと並行して、Ethereum上では3つのウォレットが同時に空にされ、189万USDTと77 ETHが流出。77 ETHは、攻撃当日に新規作成されたウォレットを通じてDEXアグリゲーターの「1inch」でスワップされています。
テスト送金→本番ドレイン→即時スワップという一連の流れは、事前に十分準備された計画的な攻撃であったことを示唆しています。
2チェーンを結んだ「Bridgers」の存在
TRONとEthereumという別チェーンの攻撃を「同一犯」と断定できた根拠は、クロスチェーン・スワッパー「Bridgers」の利用痕跡でした。
オンチェーン記録によれば、BridgersのEthereum側の支払いコントラクトが、資金をEthereumのスワップ用ウォレットへ直接送金していました。この送金が、独立して見えた2つの操作を1つのインシデントとして結び付ける決定的な証拠となったのです。
この事例は、クロスチェーン・ブリッジやインスタント交換サービスが、資金の移動手段であると同時に、フォレンジック（追跡調査）における「結節点」にもなり得ることを示しています。攻撃者にとっては複数チェーンへの分散が匿名性を高める手段ですが、ブリッジのコントラクトが両者をつなぐ痕跡を残すため、追跡者にとっては逆に手がかりになるわけです。
資金追跡の現状：FixedFloat・ChangeNOW・凍結分
流出資金のその後について、現時点で判明している状況を整理します。
- FixedFloat経由：攻撃者は盗んだ資金の約79%を、インスタント交換サービスFixedFloatを使い、約50個の「使い捨てアドレス」を経由して移動させました。単一使用アドレスを大量に使う手口は、追跡を困難にするための典型的なロンダリング手法です。
- ChangeNOWによる凍結：調査会社Specter Investigationsからの連絡を受け、別の交換サービスChangeNOWが6桁ドル（数十万ドル規模）の資金を凍結しました。
- 未移動のETH：約282 ETH（約54万2000ドル相当）が、5つのアドレスに分散したまま動かされずに残っています。
凍結や未移動分が存在することは、取引所間の連携と迅速な情報共有が、被害の一部回収につながり得ることを示す実例です。
Coinsbuyの対応と「秘密鍵は無事」という見立て
注目すべきは、Coinsbuyがドレインされたウォレットを24時間以内に、攻撃前の残高の0.05%以内の水準まで補填した点です。
研究者は、この即時補填の挙動を「運営側が秘密鍵の流出を疑っていない」ことの表れだと分析しています。もし秘密鍵そのものが漏れていたのであれば、同じウォレットに資金を戻すことは新たな流出リスクを招くため、通常は行いません。つまり、攻撃は秘密鍵の直接的な奪取ではなく、出金処理経路のどこかを突いたものだった可能性が高い、という見立てです。
CoinsbuyはCoinDeskに対し、インシデントは「封じ込められた（contained）」とし、「影響を受けた全額は当社の自己資本によって全額補填された」とコメント。「顧客が損失を被ることはなかった。プラットフォームは安定して正常に稼働している。調査は進行中で、現段階でこれ以上の技術的詳細は開示できない」と説明しています。
利用者資金が自己資本で補填された点は不幸中の幸いですが、「攻撃経路が未特定」のまま運用が継続されている状況には、なお注意が必要です。
利用者が学ぶべき教訓：DEXとCEXのリスクの違い
今回の事案から、暗号資産の利用者が得られる実務的な示唆を挙げます。
第一に、取引所（CEX）に資産を預けることは、その運営インフラのセキュリティに全面的に依存するという原則の再確認です。DEXであれば自分の秘密鍵で資産を管理しますが、CEXでは取引所の出金システムやホットウォレット管理の堅牢性がそのままリスクになります。
第二に、インスタント交換・クロスチェーンブリッジはロンダリングに悪用されやすいという現実です。裏を返せば、これらのサービスは調査・凍結の協力を求められる立場にもあり、Specter InvestigationsやChangeNOWの連携のように、利用者保護に資する動きも存在します。
第三に、「補填されたから解決」ではないという視点です。Coinsbuy自身が「攻撃ベクトルは未特定」と認めている以上、根本原因が明らかになるまでは同種の再発リスクが残ります。取引所を選ぶ際は、インシデント後の透明性ある事後報告（ポストモーテム）を公開しているかどうかも、判断材料になります。
投資・資産管理の判断は、こうしたリスクの所在を理解したうえで、自己責任で行うことが重要です。
まとめ
2026年8月9日に発生したCoinsbuyの約807万ドル流出事件は、TRONとEthereumを同時に狙う協調型攻撃という、近年増加する複雑なインシデントの一例です。攻撃者は5 USDTのテスト送金から本番ドレイン、1inchでのスワップ、FixedFloat経由の分散送金へと計画的に資金を動かし、約79%を50個の使い捨てアドレスで移動させました。一方で、ChangeNOWによる凍結や約282 ETHの未移動といった追跡上の成果も出ています。Coinsbuyは自己資本で全額補填し「顧客の損失はゼロ」としていますが、攻撃ベクトルは未特定のままです。利用者としては、CEXへの資産集中リスク、事後の透明性、クロスチェーン経路の追跡可能性という3点を押さえ、冷静に情報を見極める姿勢が求められます。
※本記事は公開情報に基づく解説であり、投資を推奨するものではありません。取引所の利用や資産管理は自己責任で行ってください。
