はじめに（この記事で分かること）#

Bitcoinは匿名の通貨だと思われていた時期がある。2015年1月、Silk Roadの運営者Ross Ulbrichtの公判で、元FBI捜査官のIlhwan Yumは、押収したサーバーのデータをもとに、Silk RoadからUlbrichtのノートPC上のウォレットへの送金を3,760件たどったと証言した。動いた額は当時のレートで約1,340万ドルにのぼった。Bitcoinの取引記録は、事件から1年以上たってもすべて読める状態で残っていた。

Moneroは、Bitcoinとは逆の前提で設計されている。誰が、誰に、いくら送ったかを、台帳を見ても読めないようにすることが出発点だ。

追跡のしやすさの差は、二つの通貨の台帳が何を公開し、何を隠すように作られているかで決まる。そして両者とも、取引所での本人確認や現金への換金といった「出口」では、同じように身元とつながる。この記事はその両方を説明する。追跡の具体的な手法はチェーン解析の記事に譲り、ここでは「なぜ違うのか」に絞る。

前提: 脅威モデルの整理#

暗号資産の台帳は、脅威モデル入門で整理した5種類の相手のどれに対しても、同じように開かれている。Bitcoinのブロックチェーンは誰でもダウンロードして読める。法執行機関も、取引所も、チェーン解析を専門にする企業も、そしてあなたを個人的に狙う標的型攻撃者も、見ているデータは同じだ。

違いは、そのデータに「名前」を重ねられるかどうかにある。名前を持っているのは、主に本人確認をして口座を開かせる取引所だ。取引所はプラットフォームの一種であり、法的な要請があれば記録を提出する。暗号資産の匿名性を考えるときは、台帳の上で何が読めるかと、台帳の外で誰が名前を持っているかを、分けて考える必要がある。

Bitcoin: 全員に見える帳簿と「仮名」#

設計者が最初から書いていたこと#

Bitcoinの論文は、プライバシーについて率直だ。2008年に公開されたSatoshi Nakamotoの論文は第10節で、すべての取引を公開する以上、銀行のように情報へのアクセスを制限する方法は使えないと書いている。代わりに提案されたのが、公開鍵（アドレス）を誰のものか分からない状態に保つことだった。論文はこれを、株式市場で個々の売買の時刻と量は公開されても、当事者は明かされないのと同じだと説明している。

同じ節で、論文はその限界も認めている。取引ごとに新しい鍵を使うべきだとしたうえで、複数の入力を持つ取引では、入力がすべて同じ持ち主のものだと必然的に明らかになる、と書いた。そして、ある鍵の持ち主が明らかになれば、つながりをたどって同じ持ち主の他の取引も明らかになりうる、というリスクを挙げている。

Bitcoinの匿名性は、名前の代わりにアドレスを使う「仮名」であって、匿名ではない。台帳には、どのアドレスからどのアドレスへ、いつ、いくら動いたかがすべて記録され、消えることはない。

アドレスは束ねられる#

Nakamotoが認めた「複数入力は同じ持ち主」という性質は、そのまま分析の手がかりになった。2013年にSarah Meiklejohnらが発表した論文は、当時の台帳にあった約1,206万個の公開鍵に、この「複数入力は同じ持ち主」という推定だけを当てはめ、約558万のまとまりに束ねた。おつりの行き先を推定する方法を加えると、まとまりはさらに約338万まで減った。

束ねられたアドレス群のどれか一つにでも名前がつけば、同じ持ち主と推定された範囲全体に関連付けが広がりうる。名前をつける場所の典型が、本人確認をする取引所だ。取引所に入金したアドレスは、その取引所の顧客記録と結びつく。ただし取引所が管理するアドレス群には多数の顧客の資金が混ざるため、どの入金がどの顧客のものかは取引所の内部記録を通じて初めて分かる。

束ねる推定の仕組みと誤りの率、少額ずつ切り出していく「ピーリングチェーン」の追跡、送金を混ぜ合わせた後に残る金額と時刻の相関は、チェーン解析の記事で詳しく扱う。ここで押さえておきたいのは、それらがすべて、台帳が送金元・送金先・金額を公開しているという設計の上に成り立っていることだ。

追跡の実例#

Silk Roadの公判でYumが示した分析は、押収したサーバーとノートPCにあったアドレスを起点に、公開台帳の上で送金をたどったものだった。サーバー上には210万を超えるアドレスが、ノートPC上には1万1千を超えるアドレスが見つかっている。ただし、この分析は公判が始まった後に2週間足らずで行われ、弁護側への開示も直前だったことが、当時Forbesで批判されている。追跡の結果は、分析の手続きと切り離して評価できるものではない。

2016年に取引所Bitfinexから約11万9,754 BTCが盗まれた事件では、2022年2月に夫婦2人が資金洗浄の共謀容疑で逮捕された。米司法省によれば、盗まれた資金を受け取ったウォレットの秘密鍵を含むファイルが見つかり、9万4千BTCを超える押収につながった。報道によれば、2人は偽名の口座、自動化された取引、Moneroのようなより秘匿性の高い通貨への乗り換えを含む方法で洗浄を図ったが、資金の一部は最終的に2人が管理する口座に流れ着いていた。

二つの事例はどちらも、台帳の追跡だけで完結したわけではない。押収した端末やファイルという台帳の外の証拠が、台帳の上の流れに名前を与えた。

Monero: 隠すことを前提にした帳簿#

Bitcoinの台帳から読めるのは、送金元、送金先、金額の三つだ。Moneroはこの三つを、それぞれ別の仕組みで隠す。

台帳から読めるものBitcoinMoneroの仕組み
送金元（どの資金が使われたか）読めるリング署名: 本物の入力を、他の出力（おとり）と混ぜた16個の候補の中に隠す
送金先（誰が受け取ったか）読める（アドレスが残る）ステルスアドレス: 支払いごとに一回限りの受取先を生成する
金額読めるRingCT: 金額を暗号化したまま正しさだけを検証する
取引を最初に流したIPアドレスネットワークの観測で推定されうるDandelion++: 取引の初期の伝わり方を細い経路にし、発信元を推定しにくくする

リング署名は、ある取引で使われた資金が、台帳上の16個の候補のどれなのかを外から区別できないようにする。リングの大きさは2022年8月のネットワークアップグレードで11から16に引き上げられた。ステルスアドレスは、受取人が公開しているアドレスとは別に、支払いのたびに使い捨ての受取先を作る。Bitcoinで束ねる手がかりになった「同じアドレスの再利用」が、構造的に起きない。RingCTは2017年1月に導入され、同年9月からすべての取引で必須になった。Dandelion++ は2020年5月のリリース（v0.16.0.0）で加わった。

隠し方にも弱点があった#

ただし、隠す仕組みにも穴はあった。2018年にPETSで発表されたMalte Möserらの論文は、初期のMoneroで、おとりを含む入力の約62%が「連鎖的な消去」によって本物を特定できたと報告している。おとりを一つも含まない取引が許されていた時期があり、その取引で使われた出力が、他の取引のおとりとして使われると、消去法で本物が分かってしまったからだ。また、本物の入力はリングの中で最も新しいものであることが多く、それだけで約80%の確率で当てられるとも指摘した。

Moneroのプロジェクトは公式の反論で、最大の脆弱性は論文の2年以上前から知られ、論文の最初の版が出る前にほぼ解消されていたと説明している。どちらの言い分も、リング署名の強さが「おとりの数」と「おとりの選び方」に左右されることを示している。16個の候補という匿名集合は、Bitcoinに比べれば大きいが、統計的な推定の余地をゼロにするものではない。

FCMP++: 匿名集合を「16」から「全体」へ#

この弱点に対するMoneroの次の答えがFCMP++（Full-Chain Membership Proofs）だ。リング署名が「16個の候補のどれか」を示すのに対し、FCMP++ は「台帳上の出力全体のどれか」であることを、どれかを明かさずに証明する。匿名集合が16から台帳全体に広がれば、おとりの選び方の偏りを突く統計的な推定は、成り立つ余地がほとんどなくなると見込まれている。

ただし、2026年11月1日時点で、FCMP++ はMoneroのメインネットではまだ稼働していない。整理すると次のとおりだ。

監査の進み具合は具体的になってきた。Trail of Bitsが2026年5月にFCMP++ の統合コードを監査し、Monero向けの資金助成団体MAGIC Grantsは8月、Trail of Bitsによる暗号実装の監査で、6件の指摘がすべて情報レベル（深刻度の高い問題なし）だったと公表した。10月5日には、本番とは別の試験用ネットワーク（ストレスネット）でFCMP++ を有効にするフォークが行われたと報じられている。

一方で、本番のネットワークでいつ有効になるかは決まっていない。getmonero.orgのブログには、2026年10月16日のリリース（0.18.5.4）まで、フォークの日程を告げる発表はない。開発者の一人がGitHubで公開している作業計画の草案は、2026年11月2日に参照した時点で2027年の第17週（4月下旬）ごろの有効化を想定しているが、本人が拘束力のない作業用の草案だと断っており、想定時期は改訂のたびに動いている。

ネット上には「FCMP++ は2026年に稼働済み」とする記事が複数あるが、稼働したとされる時期が記事ごとに食い違っており、公式の発表とも合わない。Lamerzは、公式の発表があるまで「未稼働」として扱う。

FCMP++ が稼働しても、変わるのは台帳の上の匿名性だ。次の節で書く「出口」の問題は、何も変わらない。

チェーン上の匿名性と、文脈の匿名性#

ここまでの話は、すべて台帳の上で何が読めるかについてだった。しかし、匿名性が崩れる場所の多くは台帳の外にある。台帳の上の匿名性を「チェーン上の匿名性」、台帳の外で生まれる手がかりからの匿名性を「文脈の匿名性」と呼んで区別すると、両者は別物だと分かる。

文脈の手がかりの典型は、法定通貨との出入口だ。本人確認をした取引所でMoneroを買えば、その取引所の記録には「この人がこの時刻にこれだけのMoneroを受け取った」と残る。台帳の上でその先が追えなくても、入口の記録は消えない。売るときも同じで、取引所に送って日本円に換えた時点で、出口に名前が残る。脅威モデル入門の言葉でいえば、取引所は匿名の区画と実名の区画をつなぐ「橋」になる。

OxyMonsterの事例では、Dream Marketの支払いに組み込まれていた混合処理を迂回した投げ銭用アドレスから、仲介サイト上で本人が管理するウォレットへ送金が流れていた。Bitfinexの事例では、Moneroへの乗り換えを含む洗浄を経てもなお、資金の一部が本人たちの管理する口座に流れ着いていた。どちらも、台帳の性能ではなく出入口で崩れている。

出入口以外にも、文脈の手がかりはある。取引を送信したときのIPアドレス、受け取った額と時刻の一致、ウォレットを動かしている端末そのものだ。Dandelion++ はIPアドレスの問題の一部を緩和するが、端末が押収されれば台帳の暗号は関係がない。

Moneroを使えば追跡されない、という言い方は、チェーン上の匿名性だけを見た言い方だ。文脈の匿名性まで含めれば、BitcoinとMoneroの差は、出入口と端末の管理がどれだけできているかによって縮みも広がりもする。Moneroの入手経路ごとのリスクはMoneroの入手方法で整理する。

各国の規制と摘発の現状#

EU#

EUの暗号資産市場規則（MiCA）第76条3項は、暗号資産の取引プラットフォームの運営規則に対し、匿名化機能を内蔵した暗号資産の取引を認めないよう求めている。例外は、取引プラットフォームの運営者が保有者と取引履歴を特定できる場合に限られる。さらに、2024年に成立したEUのマネーロンダリング防止規則（AMLR、規則 (EU) 2024/1624）第79条1項は、クレジット機関・金融機関・暗号資産サービス事業者に対し、匿名化機能を強化した暗号資産（anonymity-enhancing coins）を含む匿名口座の保有を禁止している。この規則の適用開始は2027年7月10日だ。個人が暗号資産を保有すること、自分で管理するセルフホストウォレットは禁止の対象外で、規則の前文は、ハードウェアやソフトウェアの提供者と、利用者の資産にアクセスできないセルフホストウォレットの提供者を範囲外と定めている。欧州では、この流れを受けて取引所がMoneroなどの取扱いを前倒しで停止する動きが続いているとされる。

日本#

日本では、暗号資産交換業者の自主規制団体である日本暗号資産等取引業協会（JVCEA）の規則が、移転記録の追跡ができない、または著しく困難な暗号資産について、問題が解決されない限り取り扱ってはならないと定めている。それより前の2018年6月には、コインチェックが資金洗浄とテロ資金供与への対策を理由に、Monero、Zcash、Dashなどの取扱いを廃止した。

また、犯罪収益移転防止法の改正により、2023年6月1日から暗号資産交換業者に「トラベルルール」が適用されている。交換業者を通じて暗号資産を送受信するとき、送金人と受取人の情報を事業者間で通知・取得する義務だ。国内の交換業者を通る限り、送金には名前が伴う。

摘発#

追跡を難しくするサービスを運営する側も、刑事責任を問われている。混合機能を持つウォレットSamourai Walletの共同創業者2名は、2024年に資金洗浄の共謀と無登録の送金業を営む共謀で起訴された。米司法省は2025年8月、2人が「犯罪収益を送金していると知りながら送金業を営む共謀」の1件について有罪を認めたと発表し、同年11月に禁錮5年と4年の判決が出た。Bitfinexの事件では、逮捕された2人が2023年8月に資金洗浄の共謀などについて有罪を認めている。

限界と残るリスク#

秘匿性を高める技術には、それぞれ利点と対になるリスクがある。

手段利点対になるリスク
Bitcoinのミキサー・混合取引のつながりを読みにくくする金額と時刻の相関で推定される余地が残る。取引所で資金が凍結・調査の対象になりうる。運営者が訴追された例がある
Monero送金元・送金先・金額を台帳上で隠す出入口の取引所で記録が残る。日本の登録業者では扱われず、欧州でも取扱い停止が進み、使える出入口が限られる。過去の取引には統計的な弱点があった
FCMP++（未稼働）匿名集合を台帳全体に広げる見込み稼働時期は未定。稼働しても出入口と端末の問題は変わらない

Moneroの過去の取引は台帳に残り続ける。リングサイズが小さかった時期や、おとりの選び方に偏りがあった時期の取引は、将来の分析手法の進歩で読み解かれる可能性がある。今日の匿名集合の大きさは、過去の取引には遡って適用されない。

規制の変化も、利用者にとってのリスクになる。取扱いが停止されれば、保有している資産を法定通貨に換える経路が細る。換金のたびに出入口で名前が残るという構造は、規制が強まるほど強固になる。

まとめ#

暗号資産で自分の金融プライバシーを守りたい人が最初に確かめるべきなのは、どの通貨を使うかより、自分の資金がどこで名前と結びついているかだ。本人確認をした取引所で買い、同じ取引所に戻して売る限り、BitcoinでもMoneroでも、入口と出口の記録はそこに残る。

Bitcoinを使っている人は、自分が過去に使ったアドレスが、すでに取引所の記録を通じて名前と結びついている前提で考えたほうがよい。公開台帳の記録は消えず、一点に名前がつけば、同じ持ち主と推定された範囲の取引に関連付けが広がりうる。自分のアドレスが外からどう見えるかはチェーン解析の記事で確かめられる。

Moneroに関心がある人は、FCMP++ の稼働を待つかどうかより先に、入手と換金の経路ごとのリスクを知っておく必要がある。日本の登録業者で扱われていないという事実は、使える経路が限られ、その経路ごとに凍結や詐欺のリスクがあることを意味する。経路の比較はMoneroの入手方法で扱う。

出典#