仮想通貨ユーザーの数が増え続け、JPモルガンなどの金融機関がこの業界に前向きな姿勢を見せていることから、カストディアル の仮想通貨ビジネスの見通しは引き続き明るい。しかし、これまでの経緯が示すように、こうしたビジネス、とりわけ取引所は、セキュリティやコンプライアンスに関する重大なリスクに直面している。
ここ数年、ハッキング被害に遭った数多くの仮想通貨取引所を例に挙げてみましょう。昨年、Upbitでは4,900万ドル相当の仮想通貨が盗まれ、その前の年にはCoincheckで5億3,400万ドル相当が盗まれました。また、2014年にはMt. Goxが4億7,300万ドル相当のビットコインを失ったことで、悪名高く事業停止を余儀なくされました。こうした事例は枚挙にいとまがありません。 同時に、米国や日本の規制当局は近年、不十分なマネーロンダリング防止（マネーロンダリング対策 ：AML）プログラムを実施していたとして、仮想通貨取引所に対して多額の罰金を科しています。規制当局が仮想通貨に特化した規制のさらなる体系化と執行を図るにつれ、このような事例は今後さらに頻繁に発生する可能性が高いでしょう。
もちろん、セキュリティとコンプライアンスを真剣に考える理由は、単に悪影響を避けるためだけではありません。特に仮想通貨が主流となり、初心者が最も安全なサービスを求めるようになる中、これらは新規ユーザーとの信頼関係を築く上でも極めて重要です。そこで本ブログでは、Fireblocksと提携し、FATF (金融活動作業部会) の規制を遵守し、顧客の安全を確保するために必要な手順を網羅したガイドをお届けします。
仮想通貨取引所のコンプライアンス：FATF (金融活動作業部会) の規制を順守する方法
仮想通貨取引所として、事業を展開する管轄区域によって、遵守すべき規制が決まります。しかし、おそらくその規制は、 FATF (金融活動作業部会) マネーサービス事業者向けに定められた規制と類似している可能性が高いです。これらの規則は、以下の3つのカテゴリーに分類されます：
- KYC (Know Your Customer) (KYC)。これらの規則は 、ユーザーが制裁対象ではないことを確認するため、および将来的な不審な活動が発生した際に事案 に記録を残すために、ユーザーから識別情報を収集することを定めています。
- 取引モニタリング. すべての マネーサービスビジネス は 、マネーロンダリング、テロ資金供与 、またはその他の形態の金融犯罪を示す兆候がないか、取引を継続的に監視しなければなりません。
- リスクのある行為への対応。 取引を効果的に監視していれば 、間違いなく何らかのリスクのある行為に遭遇することになります。その際には、ユーザーへの直接対応、記録の保管、不審な活動の関連監督当局への報告といった点において、アドレス を行う必要があります。これには通常、管轄区域のマネーロンダリング対策 （AML）ポリシーに定められた要件に従うことが含まれます。
以下では、暗号資産 のコンプライアンスに関する各分野について解説します。
KYC の情報の収集
KYC （本人確認）プロセスは、仮想通貨事業者が自社のプラットフォーム上のすべてのアカウントを実世界の身元情報と紐付けるための仕組みです。KYC プロセスの一環として、ユーザーに求める可能性のある情報には、次のようなものがあります：
- 電子メールアドレス
- 州が発行した身分証明書または運転免許証
- 生年月日
- 社会保障番号
- 電話番号
- 物理的アドレス
- 公共料金の請求書、またはその証明となる同様の書類アドレス
どのような情報をいつ収集しなければならないかを厳密に定めた規則は存在しないことに留意してください。ほとんどの法域では、仮想通貨事業者がユーザーに対し、メールアドレス（アドレス ）のみを登録情報として、取引を開始させることは完全に合法ですが、現在の米国の取引所では、登録時に本人確認を求めるのが一般的となっています。 ただし、ユーザーが巨額の取引（通常は1取引あたり10,000米ドル）を開始した場合にのみ、事業者は法的に氏名やアドレス といった情報を記録し始める必要があります。そのため、一部の仮想通貨事業者は登録時に可能な限りのKYC 情報を収集することを選択する一方で、他の事業者は、ユーザーが取引したい金額が大きくなるほどより多くのKYC を要求する段階的なシステムを採用しています。適切なアプローチは、貴社のビジネスモデルや顧客層によって異なります。
Paxful、最も安全な仮想通貨取引所の一つとされるP2P は、顧客の累計取引高に基づいた段階的なKYC ポリシーを適用している好例となっています：
- ティア1：0～1,500ドル。Eメールおよび電話による本人確認
- ティア2：500ドル～10,000ドル。写真付き身分証明書による本人確認
- ティア3：10,000ドル～50,000ドル。アドレス による実物確認。
- ティア4：50,000ドル以上。より厳格な顧客管理（EDD) 。
顧客ライフサイクルのどの段階で収集したかに関わらず、ユーザーの身元を証明する検証済みの書類を入手したら、次のステップは制裁スクリーニングを実施することです。ここでの目的は、そのユーザーが何らかの制裁の対象となっているかどうかを把握することです。米国（現時点で、制裁リストに仮想通貨 [email protected] を盛り込んだ唯一の国）や英国のイングランド銀行を含む、複数の国の政府機関は、独自の制裁リストを維持しており、 OFAC 米国（現時点で、制裁リストに仮想通貨アドレス を含めている唯一の国）や英国のイングランド銀行など、各国の政府機関が独自の制裁リストを管理しているため、スクリーニングを行う最も簡単な方法は、トムソン・ロイターやリフィニティブのようなサービスを利用することです。これらのサービスは、関連するすべての制裁リストを統合しているため、各リストを個別に確認したり、既存ユーザーが登録後に制裁対象となったかどうかを定期的に確認したりする必要がなくなります。 制裁スクリーニングに加え、これらのサービスを利用して、重要な公的地位を有する者 (PEP) （PEP）スクリーニングを行うことも可能です。これにより、ユーザーが贈収賄やその他の形態の金融腐敗のリスクが高い政府高官であるかどうかを判断できます。また、ネガティブメディアスクリーニングでは、さまざまなニュースソースを横断的に調査し、潜在的なユーザーが犯罪活動に関与している可能性を示す証拠を探します。
取引モニタリング
カストディアル に該当する仮想通貨事業者として、プラットフォーム上でホストされているアドレス を通じてユーザーが行う取引を監視し、犯罪組織との間で資金の送受信が行われていないことを確認する必要があります。また、FATF (金融活動作業部会) に準拠する管轄区域では通常、不審な取引、一定額を超えるすべての取引、およびユーザーがそのような活動を隠蔽しようとしている可能性のある事例について、記録を保持し、共有することを義務付ける規則が設けられています。
まずは犯罪活動の監視から始めましょう。ユーザーが、ダークネットマーケット、制裁対象者、詐欺師、その他のサイバー犯罪者など、違法活動に関連する仮想通貨アドレス から資金を送金または受け取った際に、それを把握する手段が必要です。そうすることで、迅速な対応が可能になります（具体的な対応策については後ほど説明します）。幸いなことに、Chainalysis の「Know Your Transaction（KYT）」のようなサービスを利用すれば、ユーザーがリスクの高いアドレス と直接取引を行っている場合、リアルタイムで通知を受け取ることができます。 しかし、indirect への曝露についても考慮する必要があります。報告義務は、外部からサービスへ資金を送金する最初のアドレス に留まりません。悪意のある者が、プラットフォームと犯罪者アドレス の間を仲介する第三のアドレス を設定するのに必要な労力は、ごくわずかなものです。したがって、あらゆる可能性を網羅するためには、次のようなより高度な調査ツールも検討すべきです。 Chainalysis Reactor のような高度な調査ツールの導入も検討すべきです。このツールは、サービスとやり取りする最初のアドレス を超えて、顧客の資金のindirect の送金元と送金先を可視化することができます。
明示的にリスクの高い活動の監視に加え、管轄区域によっては、特定の種類の取引について届出や報告を行うことが義務付けられている可能性があります。例えば、FinCENは、仮想通貨事業者（およびその他のすべてのマネーサービス事業者）に対し、10,000ドル以上の預入、引出、または通貨交換 （例：ビットコインから米ドル、ビットコインからEthereum など）について、通貨取引報告書（CTR）を提出することを義務付けています。FATF (金融活動作業部会) の加盟国のほとんどは、何らかの形で同等の規則を設けています。FATF (金融活動作業部会) 加盟国の仮想通貨事業者もまた、 トラベルルールに準拠しなければなりません。これによれば、3,000ドル相当以上の仮想通貨を伴う送信 の送受信双方において、送金側および受取側のユーザーを特定し、その情報を取引の相手側にあるサービスに送信 する必要があります。ただし、その相手側のサービスもまた、カストディアル の仮想通貨事業者（VA Service Provider、FATF (金融活動作業部会) の用語ではVASP と呼ばれる）であることが条件となります。 また、管轄区域内の特定の州や地域では、国レベルで定められた規則に加えて独自の規則が課されることが多いという点にも留意する必要があります。例えば、ニューヨーク州で事業を行う仮想通貨事業者は、ニューヨーク州金融サービス局から独自のライセンスを取得し、仲介する など、取り扱い可能な特定のコインに関する独自の規則に従う必要があります。
最後に、仮想通貨事業者は、違法行為やFATF (金融活動作業部会) の規則違反と明示的に関連しているわけではないものの、そのような行為を隠蔽しようとする試みであると思われる、あるいはその他の点で不審な取引について、記録を保持し、場合によっては報告書を提出しなければなりません。その例としては、次のようなものがあります：
- 支払いの分割。分割とは、ユーザーが、FATF (金融活動作業部会) の規則に基づき報告義務が発生する金額をわずかに下回る金額で、複数の取引を行うことを指します。例えば、米国のユーザーが、別のサービス上のアドレス に対して、3,000ドルをわずかに下回る額の仮想通貨を複数回送金した場合、これはトラベルルール を回避しようとする試みである可能性があるため、報告する必要があります。
- 取引頻度の増加。取引頻度の増加とは 、ユーザーが突然かつ大幅に取引活動を増加させたケースを指します。例えば、週に1回の取引から週に20回の取引へと急速に増加したユーザーは、記録に残しておく価値があります。
- よくある取引相手。 多数のユーザーが、特に多額の取引を行っている、見知らぬアドレス には注意を払う必要があります。 例えば、先月、20人のユーザーが、既知のサービスとは関連のないアドレス への送金を開始したことに気付いた場合、その後さらに不審な活動が発生した際に備えて、事案 にその旨を記録しておく価値があります。
- 異常な取引活動。異常な取引活動とは、ユーザーの取引行動における突発的なおつり 、特に取引量の大幅な増加を指します。例えば、取引所を運営している場合、これまで週に約100ドル相当の仮想通貨を取引していたユーザーが、突然1週間で10,000ドル相当の取引を行った場合、その取引を記録し、必要に応じて不審な取引として報告する必要があります。
仮想通貨取引モニタリングChainalysis やKYTといったツールは、取引をリアルタイムで分析できるだけでなく、上記のいずれかの状況が発生した際にアラートを送信するため、ユーザーは直ちに対処することができます。
不審な行動への対応
取引を監視して不審な動きがないか確認している際、不審な動きを発見したらどうすべきでしょうか？グレーゾーンや予期せぬ事態を評価するためのワークフローを含め、あらゆる想定されるシナリオに対する対応策を策定し、それらをコンプライアンスチーム向けの、適切に文書化された方針や手順に落とし込むことが極めて重要です。
コンプライアンス方針について、私たちからの提案は？「リスクベース・アプローチ 」を試してみてください。
すべての仮想通貨ビジネスに通用する、画一的なコンプライアンス方針など存在しません。しかし、どのような方針であれ、まずは組織のリスク許容度を把握することから始め、そこから、各不審な取引がもたらすリスクの程度に応じて、あらゆる形態の不審な活動に対する適切な対応策を策定すべきです。 不審または違法な取引がもたらすリスクの程度は、主に取引金額とリスクの高い取引相手 の深刻度によって決まります。例えば、ユーザーが数千ドル相当の仮想通貨をダークネットマーケット に送金する場合と、数百ドル相当をギャンブルサービスに送金する場合とでは、前者のほうが明らかにリスクが高いとみなされるべきです。ほとんどの仮想通貨事業者は、ユーザーがリスクの高い取引を行った際、その取引がもたらすリスクのレベルや、そのユーザーが過去に示したリスクの高い行動に応じて、以下のいずれかの方法で対応しています：
- 措置を講じるかどうかを決定する前に、取引内容について説明を求めるため、顧客に連絡する
- ユーザーの資金を凍結する
- （事業者が実際に段階的なKYC の徴収システムを採用している場合）次のKYC の段階に引き上げられるような高額な取引を、ユーザーが実行できないように制限する
- そのユーザーをプラットフォームから利用停止にする
繰り返しになりますが、すべての取引に適用できる万能な方針など存在しないため、当該活動のリスクの程度に応じて、どの対応策を採用するかを事前に検討しておく必要があります。
いずれにせよ、ユーザーの行動が不審であり、上記の措置のいずれかを講じる必要がある場合は、FinCEN、または当該管轄区域の同等の機関に対して、不審取引報告書（疑わしい取引の届出 ：SAR）（疑わしい取引の届出 ）を提出する必要があります。このような状況ではSARの提出が義務付けられており、不審な行動が発生してから30日以内に適切な機関へ提出しなければなりません。 つまり、事業が拡大するにつれて、不審な取引を把握し、SARを適時に提出するためには、最終的には自動化された取引モニタリング システムが必要になるということです。取引量が膨大で、コンプライアンス方針が適切に機能している仮想通貨事業者が、多数のSARを提出しないということは事実上あり得ません。仮想通貨事業者としてのSAR提出方法に関する完全なガイドについては、こちらのウェビナーをご覧ください。
コンプライアンスの遵守は容易なことではありません。しかし、チームへの投資を行い、適切なツールを整備し、上記で説明した手順を確実に実行すれば、金融規制当局との良好な関係を維持しつつ、ユーザーのために安全な仮想通貨プラットフォームを構築することができるはずです。
仮想通貨事業におけるセキュリティ
安全な仮想通貨ビジネスを構築する上で、セキュリティはコンプライアンスと同様に重要です。適切なセキュリティ対策が講じられていない場合、デジタルアセット での取引は、サイバー攻撃やその他の脅威に対して極めて脆弱になる可能性があります。実際、過去8年間で、暗号資産 取引所のハッキングにより、150億ドル以上が盗まれています。
しかし、ハッカーが好んで利用する主な攻撃経路（ハッキング ）を考慮に入れれば、取引プロセスはかなり安全になります。こうした攻撃経路には、次のようなものがあります：
- 非公開鍵
- 入金 アドレス
- API鍵
以下では、これら3つすべてについてさらに詳しく見ていきます。
非公開鍵
ハッカーやその他の悪意のある者（内部の共犯者など）は、被害者の秘密鍵（鍵 ）をハッキング しようと試み、ブロックチェーン に保管されている資金を管理するウォレットにアクセスしようとする場合があります。これにより、攻撃者は被害者のウォレットから資金を送信 して、任意の場所（つまり、自身のウォレットなど）へ送金することが可能になります。この手口の最近の事例として、2019年1月に発生したCryptopia ハッキング の事件が挙げられます。この事件では、プロのハッカーがCryptopiaのウォレットシステムを侵害し、1,600万ドルを盗み出しました。
鍵 のような民間企業が過去にセキュリティ侵害を受けた事例には、以下のようなものがあります：
- 秘密鍵 を盗み出すマルウェアをサーバーに感染させる。
- HSM（ハードウェアセキュリティモジュール）の認証トークンを盗み出し、HSMに出金取引への署名を強制する。
- 権限を持つ社内従業員が、秘密鍵 を盗んだ。
現在、デジタルアセット 分野の機関では、MPC（多者間計算）を用いてプライベート鍵 のセキュリティを確保しています。MPCは秘密鍵 のセキュリティにおける強力な次のステップであり、ハードウェア（例：チップレベルのハードウェア隔離エンクレーブであるIntel SGX）で保護され、かつ複数のクラウドプロバイダーにまたがって実装されることで、その効果はさらに高まります。
MPCは、最高レベルのセキュリティを維持しつつ、デジタルアセット への即時アクセスを可能にするため、強力なウォレットソリューションです。MPCの基本的な機能により、秘密鍵 におけるハッキング の単一ポイント が排除され、各ユーザーが独自のプライベートシェアを持つ「流動的な」形態となります。同時に、MPCの分散型構造により、チームメンバーは、同じ場所にいなくても、取引に複数の承認者を必要とし、取引に署名することが可能になります。
入金 アドレス
入金 （アドレス ）とは、ウォレットの公開アドレス を指定する長い英数字の文字列のことです。送信 から取引相手 へ資金を送金するには、双方が入金 をアドレス で交換する必要があります。ハッカーは、この入金 アドレス の交換プロセスの複数の段階で攻撃を仕掛けてきます。彼らはハッキング 入金 アドレス を次のような方法で利用します：
- ウェブブラウザを乗っ取る（マン・イン・ザ・ブラウザ）不正なChromeウェブ拡張機能。
- ウェブブラウザとウォレットアプリの間でコピー＆ペーストを行う際、アドレス を偽装する。
- メッセージングサービス（例：Telegram）上で、取引相手間で送付 されている入金 アドレス を傍受・改ざんすること。
- 取引所のウェブサイト上のコードを乗っ取り、リクエスト元でアドレス を偽装する――例えば、gate.io取引所（ハッキング）は、Webサービス「StatCounter」のコード（ハッキング ）を利用していた。
- ウォレットのインターフェース、ドライバー、または取引相手のコンピュータを乗っ取るマルウェア。
ある注目すべき攻撃では、ハッカーが「入金 アドレス 」というURLをコピー＆ペーストしたものを、自分たちが指定したURLにすり替えるという中間者攻撃を行い、14万ドル相当のBTCを盗み出した。
入金 アドレス ハッキング といった脅威に対処するために、低減 さまざまな手法が採用されてきました。 入金 アドレス を保護するための最も一般的な手法としては、テスト送金、ホワイトリスト登録、ハードウェアウォレットなどが挙げられます。
今日では、「Fireblocks Asset送信 Network」のようなソリューションにより、アドレス の認証、ローテーション、管理が自動化されたことで、入金 アドレス に関する問題は解消されました。このネットワークを利用する機関にとっては、テスト送金やホワイトリスト登録はもはや必要ありません。
API鍵
取引所や流動性 プロバイダーは、ユーザーがAPI（鍵 ）を利用してプラットフォームに自動的にアクセスできるようにしていることがよくあります。これらの認証情報は、キーロガーやフィッシングなどの従来の マルウェアの標的となりやすいものです。また、取引ソフトウェアに保存されているAPI（鍵 ）の認証情報も、サーバーやコードリポジトリが侵害された場合に盗まれる可能性があります。
鍵 APIの不正利用に基づく攻撃の最も顕著な事例の一つは、Binance取引所ハッキング （2019年5月）でした。ハッカーはフィッシングやウイルスを用いて、大量の二要素認証コードとAPI鍵 を入手しました。そして、たった1回の取引で、攻撃当日の時点で4,000万ドル以上の価値があった7,074 BTCを盗み出しました。
一般的に、ハッカーがAPIの鍵 を入手すると、次のようなことが可能になります：
- 取引所から無断で資金を引き出すよう指示する。
- 乗っ取られた口座にある事前入金済みの資産を利用して、市場を操作する。
現在、各機関では、チップレベルのハードウェア分離をはじめ、APIの機密情報を保護するためにさまざまな手法を採用しています。チップレベルのハードウェアエンクレーブが持つ独自のセキュリティ特性により、機密性と実行の完全性が保証されます。これにより、ハッカーやソリューションプロバイダーが鍵 にアクセスしたり、資金が送金される先である入金 アドレス の真正性を偽装したりすることを防ぐことができます。
API鍵 は、プライベート鍵 と同様に、ハードウェアで保護するだけでなく、MPC シェアに分割して扱うのが最善です。API セキュリティにおける最近の進展としては、HMAC-MPC アルゴリズム が挙げられます。これは、API キーの秘密認証情報に MPC を適用するもので、これにより顧客は分散型 API鍵 を通じて取引所にアクセスできるようになり、ハッキング における単一のポイント を排除することができます。
放置すれば、プライベート鍵 、入金 、アドレス 、およびAPI鍵 は、ハッカーによるサイバー攻撃や、さらには内部からのセキュリティ侵害ハッキング など、深刻なセキュリティ問題を引き起こす可能性があります。しかし、「多層防御」アプローチ（ソフトウェアとハードウェアのセキュリティを多層的に組み合わせ、あらゆる攻撃経路を軽減する手法）を採用すれば、これら3つすべてを確実に保護することは十分に可能です。
仮想通貨の次のステップ
仮想通貨はますます注目を集めており、主流の投資資産および交換手段となる見込みです。しかし、それを実現するためには、業界関係者として、仮想通貨にも、ユーザーが法定通貨 通貨を扱う際に慣れ親しんでいるものと同等の消費者保護措置やコンプライアンス体制が整っていることを確実にしなければなりません。本ガイドで概説する手順に従うことで、仮想通貨事業者は、現在のユーザーに対して必要なレベルのセキュリティとコンプライアンスを確保し、新規ユーザーによる普及 の継続的な利用に向けた道筋を築くことができます。
さらに嬉しいことに、Chainalysis とFireblocksが連携し、統合ソリューションを通じてセキュリティおよびコンプライアンスのベストプラクティスを容易に実践できるようになりました。
Fireblocksは、カストディアル の暗号資産プラットフォーム間での送金において、追加のセキュリティ層として機能し、コンプライアンスチームが設定したルールに基づいて取引を承認または拒否します。FireblocksをChainalysis と連携させることで、Chainalysis のリアルタイムリスクスコアリングをプロセスに組み込むことができ、アドレス で特定された犯罪活動に関連する、あるいはその他の理由でコンプライアンス上の措置を必要とする送金を自動的にフラグ付けしたり、さらには停止したりすることが可能です。 すべての取引は中央リポジトリに記録され、リスクのある特徴が強調表示されるため、記録の保持や不審な活動の関連規制当局への報告といったコンプライアンス義務を容易に履行できます。Chainalysis とFireblocksの連携により、セキュリティとコンプライアンスがどのように容易になるかについて詳しく知りたい場合は、[email protected] までお問い合わせください。
