氏名・住所とビットコインのアドレスが流出｜トラベルルールの死角か

スイスのPocket Bitcoinが8月31日に公表した内容は、これまでの「秘密鍵さえ自分で持てば安全」という理解に修正を迫るものでした。顧客291人分の記録が流出し、その中には氏名や住所と取引に使われたビットコインアドレスが結びつく形の情報が含まれていました。同社は非カストディアル型で顧客の秘密鍵を預かっていません。それでも身元と公開台帳上の活動が接続されたのです。

漏れたのは鍵ではなく業務上のやり取りでした。提携銀行との連絡文書に、氏名、住所、ビットコインアドレス、本人確認書類の写し、資金の出所に関する記録が対象者ごとに異なる組み合わせで含まれていたとされています。

資金を動かすには秘密鍵による署名が必要なので、この情報だけで盗まれることはありません。失われたのは資産ではなく身元と取引履歴の間にあった距離です。

日本ではその結びつきを制度が求めている

日本の利用者にとって、これは他人事ではありません。2023年6月1日に施行された改正犯罪収益移転防止法により、国内の取引業者にはトラベルルールの対応が義務づけられています。事業者間で仮想通貨を送る際、送付人と受取人の氏名などを送金先の事業者に通知する仕組みです。国内ではTRUSTとSygnaという2系統の通知システムが使われています。

注目すべきは範囲の拡大です。通知の対象となる法域は2025年4月に28から58へ広がりました。追跡できる送金経路が増えるという意味では規制の目的にかなっています。同時に、氏名とアドレスの対応表を保有する事業者と管轄の数も増えたことになります。管理水準は事業者ごとに異なり、Pocket Bitcoinの件のように本体のデータベースではなく周辺の連絡記録から漏れる経路も残ります。

利用者側に残された余地

ビットコインのアドレスは公開情報です。誰でも残高と履歴を確認できます。一度でも氏名がアドレスに結びつくと、その前後の取引まで遡って観測できるようになります。当面の危険は資産の直接的な喪失より、その情報を使って本物らしく見せかけた連絡が届くことです。スイスの当局も相手の実際の住所を材料に圧力をかける手口を記録しています。

制度が求める追跡性そのものは、資金洗浄対策として必要な仕組みです。ただ、追跡性が上がるほど個人の匿名性は下がるという関係は変わりません。取引所ごとに送金先を分ける、受取用のアドレスを使い回さない、身元情報を預ける先を必要最小限にとどめる。こうした運用は制度の外側にあり、事業者ではなく利用者の側にしか選択の余地がありません。制度が整うほど、その部分の重みは増していきそうです。

記事ソース：資料