はじめに（この記事で分かること）#

このサイトの暗号資産の記事は、どれも同じ結論にたどり着く。台帳の上で何が読めても、取引所の入口と出口で名前がつく。BitcoinとMoneroの追跡可能性でも、チェーン解析の記事でも、取引所は匿名の区画と実名の区画をつなぐ「橋」として登場した。

では、その橋の上には具体的に何が置かれているのか。口座を開くときに撮影した運転免許証と顔の画像は、取引所のどのシステムに、誰の手を経て、何年残るのか。送金のたびに、自分の名前は誰に伝わるのか。漏れたとき、何が起きるのか。

答えの多くは法律に書いてある。日本の取引所は、本人確認の記録を口座を閉じた日から7年、取引の記録を取引の日から7年保存する義務を負う。送金の相手が別の取引所なら、送金人と受取人の氏名がその取引所に通知される。本人確認の作業そのものは、外部の専門業者に委託されることがある。この記事は、その流れを条文と事業者の公式文書で一つずつたどり、最後に「提出先を減らす」という防御の考え方に落とす。

前提: 脅威モデルの整理#

脅威モデル入門の5種類の相手のうち、この記事が扱う記録に関わるのは主に三者だ。

一つ目は法執行機関である。取引所の記録は、照会や令状によって捜査機関に提供されうる（その手続きは捜査関係事項照会と令状の記事で扱った）。加えて取引所は、疑わしい取引を自ら行政庁に届け出る義務を負っている。この相手に対して、利用者が記録の中身を変える手段はない。合法に取引所を使う限り、記録は残り、法的な手続きがあれば提出される。この記事は、その前提を変える方法を書かない。

二つ目は、記録を盗み出す攻撃者だ。外部からの侵入だけでなく、内部の担当者の買収も含む。後で見るCoinbaseの事例は後者だった。漏れた記録は、フィッシングや脅迫の材料として、標的型攻撃者の手に渡りうる。

三つ目はプラットフォームそのもの、つまり取引所と、その委託先である。取引所は本人確認で得た情報を自社の目的にも使い、グループ会社と共同で利用することがある。

この記事の対策が効くのは、主に二つ目と三つ目の相手に対してだ。記録を持つ事業者の数を減らせば、漏えいの入口が減り、記録の写しが置かれる場所が減る。法執行機関に対しては、記録の量を減らすことはできても、合法に持たれた記録を隠すことはできない。

取引時確認と記録保存#

何を確認されるのか#

犯罪収益移転防止法（犯収法）第4条第1項は、取引所を含む「特定事業者」に、特定の取引を行う際の確認を義務づけている。確認の対象は、本人特定事項（個人なら氏名、住居、生年月日）、取引を行う目的、職業の三つで、法人ならさらに実質的支配者が加わる。暗号資産の交換を継続的に行う契約の締結、つまり取引所の口座開設は、施行令第7条第1項第1号オで、この確認が必要な取引に挙げられている。同号ヤは、取引所が預かる暗号資産を顧客の依頼で移転させる行為のうち10万円を超えるものも挙げている。

確認の方法は施行規則第6条が細かく定めている。オンラインの口座開設で広く使われてきたのは、同条第1項第1号ホの方法だ。事業者が提供するソフトウェアで、利用者に自分の顔と、写真付きの本人確認書類を撮影させ、その画像を送信させる。書類の画像は、氏名・住居・生年月日、貼られた写真、書類の厚みなどの特徴が確認できるものでなければならない。つまり、スマートフォンで免許証を傾けて撮り、続けて自分の顔を撮るあの手順が、条文上の「ホ」である。

この方法は廃止が決まっている。e-Govの改正履歴には、2027年4月1日に施行される施行規則の版が登録されており、その第6条第1項第1号からは、書類の画像と顔の画像を組み合わせる方法が消えている。新しい版で残るオンラインの方法は、マイナンバーカードなどのICチップに記録された情報を読み取って送信させるものが中心になる。警察庁が公表した改正のQ&A（令和7年内閣府等令第3号）は、改正の趣旨を「本人確認書類の偽変造等によるなりすまし等のリスクの高い方法の廃止等」と説明している。同じQ&Aは、施行前にホの方法で確認を済ませた口座について、施行後に別の方法で確認をやり直すことは求めないと答えている。

読者にとっての意味は二つある。2027年4月以降に新しく口座を開く人は、書類の画像と顔の画像を組み合わせるホの方法では確認を受けられなくなる。ただし、残る方法はICチップの読み取りだけではない。同じQ&Aは、ICチップ付きの本人確認書類を持たない人などへの対応として、偽造防止の措置が講じられた一定の本人確認書類の原本の送付を受ける方法を残すと答えている（問1・問2）。実際にどの方法で確認されるかは、取引所が採用する方式による。そして、すでにホの方法で口座を開いた人の顔と書類の画像は、確認をやり直さなくても、次に見る保存期間のあいだ記録に残り続ける。

確認記録は「口座を閉じた日」から7年#

犯収法第6条は、取引時確認を行ったら直ちに「確認記録」を作成し、契約が終了した日などから7年間保存するよう定めている。起算日は施行規則第21条が定めており、口座開設のような継続的な契約（施行令第7条第1項第1号オの取引）では「当該取引に係る契約が終了した日」になる。口座を開いた日ではない。口座を閉じた日から7年だ。10年使った口座を閉じれば、確認記録は最初の提出から17年残る計算になる。

確認記録に何を書くかは施行規則第20条にある。誰が確認したか、どの方法で確認したか、本人確認書類の名称と記号番号、画像を受け取った日付、取引の目的、職業などだ。同条第3項は、住所などの変更を知ったときは内容を付記し、すでに記録された内容は「消去してはならない」と定めている。引っ越しを届け出ても、古い住所は消えず、新しい住所が書き足される。

取引記録は取引の日から7年#

確認記録とは別に、犯収法第7条は取引ごとの「取引記録」の作成と、取引の日から7年間の保存を求めている。施行規則第24条によれば、記録するのは、確認記録を検索するための事項、取引の日付、種類、財産の価額、そして財産の移転を伴う取引なら移転元や移転先の名義など、移転元または移転先を特定するに足りる事項だ。暗号資産の送金については、次の節で見るトラベルルールの通知事項も、ここに書き込まれる。

日々の売買や送金の一件ずつが、取引の日から7年の記録になる。口座を閉じても、閉じる前の取引記録はそれぞれの日付から7年残る。

届け出られる記録#

保存とは別の経路もある。犯収法第8条は、取引で受け取った財産が犯罪収益である疑いがあると認めた場合に、行政庁への届出を義務づけている。同条第4項は、届け出ようとしていることや届け出たことを、本人や関係者に漏らしてはならないと定める。利用者は、自分の取引が届け出られたかどうかを知る手段を持たない。

警察庁の「犯罪収益移転防止に関する年次報告書」（令和7年）によれば、2025年に国家公安委員会・警察庁が通知を受けた疑わしい取引の届出は1,019,405件で、そのうち暗号資産交換業者からのものは44,335件だった。2024年の22,667件から倍近くに増えている。同報告書は、2025年12月末時点で警察庁が保管する疑わしい取引に関する情報が792万1,302件にのぼるとしている。

制度の名前は変わり、7年は残る#

e-Govの改正履歴には、2026年に成立した「金融商品取引法及び資金決済に関する法律の一部を改正する法律」（令和8年法律第64号）による犯収法の改正が、2027年中の施行予定として登録されている。2027年7月22日施行予定として登録された版以降では、取引所を指す特定事業者の区分が「資金決済に関する法律第二条第十六項に規定する暗号資産交換業者」から「金融商品取引業者であって、暗号資産取引業を行うもの」に置き換わり、通知義務の条文の呼び名も「暗号資産取引業者」になる。e-Govはこの版の施行日について、別の改正法（令和8年法律第34号）の施行日との「いずれか遅い日」という注記を付けている。

同じ将来版でも、第6条と第7条の「七年間」はそのまま残っている。根拠法が資金決済法から金融商品取引法に移っても、記録の保存期間は変わらない。

トラベルルールで誰に渡るか#

通知される項目#

2023年6月1日に施行された改正（令和4年法律第97号）で、犯収法に第10条の5が加わった。取引所が顧客の依頼で暗号資産を送るとき、受取人が別の取引所に暗号資産を預けている場合には、送金人と受取人の情報をその取引所に通知しなければならない。これがトラベルルールである。

通知する項目は施行規則第31条の7が定めている。送金人が個人なら、氏名、住居（または確認記録に書かれた書類の記号番号や、取引所が管理する顧客識別番号）、そして移転に係る識別子、つまり送り元のアドレスなどだ。受取人については氏名と、受け取りの識別子になる。住所の代わりに顧客識別番号を使える規定はあるが、氏名は省けない。

あなたが国内の取引所から別の国内取引所の口座へ送れば、送り先の取引所はあなたの氏名を受け取る。逆に、誰かがあなたの取引所口座へ送ってくれば、あなたの取引所は送り主の氏名を受け取る。施行規則第24条第9号ロは、受け取った通知の内容を取引記録に書き込むよう定めているので、それも7年残る。

通知されない送金にも、名前は残る#

すべての送金で通知が行われるわけではない。犯収法第10条の5は、通知先から「政令で定める国又は地域」に所在する業者を除いている。施行令第17条の3によれば、それは通知義務に相当する義務が法令に定められていない国や地域として、金融庁長官と財務大臣が指定するものだ。日本暗号資産等取引業協会（JVCEA）の2023年3月22日の案内は、通知が必要なのは金融庁が告示で指定する法域で登録を受けた業者への送金の場合であり、それ以外、つまり利用者が自分で管理するウォレット（アンホステッド・ウォレット）や無登録業者への送金では、移転先への通知は不要だと説明している。ただし同じ案内は、その場合も取引所に移転先の属性を調べてリスクを評価する「情報収集義務」があるとしている。また、通知が可能な相手の業者は取引所ごとに異なるとも書いている。

ここで見落とされやすい条文がある。施行規則第24条第9号ハは、取引所が送金にあたって通知をしない場合でも、第31条の7の通知事項に「相当する事項」を取引記録に書き込むよう求めている。自分のウォレットへ出金するとき、取引所が受取人の氏名や送り先を入力させるのは、この記録と、上の情報収集義務のためとみられる。VPNの匿名決済の記事で、出金時の送り先の登録は交換業者側の手続きでありトラベルルールの通知そのものとは区別すべきだと書いたのは、この違いである。通知は相手に届かなくても、「この人が、この日に、このアドレスへ、これだけ送った」という行は、送った側の取引所に7年残る。

取引所のプライバシーポリシーはどう書いているか#

国内の取引所が利用者にこの流れをどう説明しているかの例として、bitFlyerのプライバシーポリシー（令和7年1月21日改定）を読んだ。同社は、個人データを第三者に提供しない原則の例外の一つとして、JVCEAの規則に基づいて、顧客の依頼で暗号資産を送付する際に「お客様に関する個人データを送付先となる受取人側の暗号資産交換業者に通知する場合」を挙げ、これを第三者提供に「該当しません」と整理している。同じポリシーは、氏名、住所、生年月日、電話番号、職業、取引内容、預り残高を、米国のbitFlyer USAやルクセンブルクのbitFlyer Europeを含むグループ会社と共同利用することがあるとも書いている。さらに、Cookie、IPアドレス、広告識別子、端末識別子、行動履歴などを第三者から取得し、顧客の個人データと結びつけてマーケティングや広告配信に使うと明記している。

一社のポリシーから業界全体を語ることはできない。ただ、本人確認で渡した情報が、法定の保存とは別の目的にも使われ、国外のグループ会社とも共有されうることは、少なくともこの一社の公式文書で確認できる。口座を開く前に、使おうとしている取引所のポリシーの「共同利用」「外国第三者提供」「委託」の項を読む価値はある。

KYC代行業者とデータの所在#

委託は法律が想定している#

本人確認の作業を外部の業者に任せることは、法律が想定している。個人情報保護法第25条は、個人データの取扱いを委託する場合に委託先を監督する義務を定め、暗号資産交換業者に関する内閣府令第14条は、利用者の情報の取扱いを委託する場合の委託先の監督について、漏えい防止のための措置を取引所に求めている。同法第27条第5項第1号により、利用目的の達成に必要な範囲の委託に伴う提供は、第27条の第三者提供にはあたらない。ただし、委託先が外国にある場合は話が別だ。個人情報保護委員会のQ&Aは、外国にある第三者に個人データの取扱いを委託する場合にも第28条が適用されると説明している。この場合、本人の同意か、同条の例外にあたる要件（日本と同等の水準にあると認められる国にある、基準に適合する体制を整備している、など）が要る。

委託先の名前が利用者に示されるとは限らない。上で読んだbitFlyerのポリシーにも、委託先の社名は書かれていない。利用者から見ると、スマートフォンのカメラで撮った顔と書類の画像が、取引所の画面の裏で、どの会社のサーバーに送られたかは分からないことが多い。

代行業者の側から見た流れ#

本人確認の代行業者が何を受け取り、どこに置くかは、業者自身の文書から読むほうが具体的だ。ここでは、海外の暗号資産サービスで広く使われ、後で見るChangeNOWも名前を挙げているSumsubのプライバシー通知（Service Delivery、2026年3月19日更新）を読む。

Sumsubは、顧客企業の依頼で本人確認を行う場面では、自らを顧客企業の指示に従う「Processor」（処理者）と位置づけている。一方で、サービスの開発や改善などの場面では、自らが利用者の個人データの「Controller」（管理者）になるとも書いている。処理するデータには、書類の種類、発行国、番号、有効期限、機械読取領域（MRZ）、セルフィーを含む顔写真、顔の特徴、IPアドレス、カメラの名前や種類といった端末の属性が並ぶ。

保存期間は顧客企業が決める。通知の文言は、顧客企業の指示に基づいて消去するが、顧客企業との契約関係の期間を超えては保存しない、というものだ。保存場所については、原則としてドイツのサーバーで保存・処理していると書く。通知の脚注は、現時点ですべての個人データをドイツの専用サーバーで保存・処理するとしたうえで、法令で特定の地域にデータを置くこと（ローカライゼーション）が求められる場合には、その地域に保存する選択肢を提供するという例外も示している。その一方で、EU・EEAの外への移転があるとし、移転先として英国、スイス、米国、アラブ首長国連邦、シンガポール、ブラジルを挙げている。消去の請求は30日以内に対応するとしつつ、請求は本人確認の手続きを管理している顧客企業に直接するよう案内し、消去の権利は「絶対ではない」と断っている。

もう一つ目を引くのは「Sumsub ID」という仕組みだ。通知によれば、利用者は一度登録した本人確認のデータを、複数の顧客企業での確認に使える。共有の前に利用者の同意を求め、受け取る企業に必要な法的な取り決めがあることを確認してから提供するとしている。便利さの裏返しとして、一つの代行業者が、利用者がどのサービスで本人確認をしたかを横断的に知りうる位置にある、という読み方もできる（これは通知の文言からの推論で、Sumsubが実際にそうした横断的な分析をしているかは、通知からは分からない）。

ChangeNOW型の「必要時KYC」の提出先#

Moneroの入手方法で扱ったインスタントスワップは、「アカウント不要」をうたうものが多い。それでも本人確認の情報が提出される場面はある。ChangeNOWのAML/KYCポリシー（2026年7月17日更新）は、冒頭で登録も継続的な本人確認も求めないと述べたうえで、一部の地域の利用者には利用前の本人確認が必須になると定めている。それ以外の利用者についても、不正や盗難資金の報告、AML/CFT上の要件、法定通貨関連の第三者からの要請、異常または疑わしく見える取引の場合に本人確認を始めることがあるとし、その確認は「信頼できる提供者であるSumsub」が行うと書く。提出を求められるのは、政府発行の身分証、資金の出所を示す書類などの補足資料、そして案件の解決に必要な追加情報だ。同ポリシーは、権限のある政府機関から、法的根拠と対象データの範囲を示した検証可能な要請があった場合に、情報を当局と共有することがあるとも書いている。

日本の居住者にとって、この「必要時」は例外ではない。同社の利用規約（2026年9月18日更新）第3.2条は、日本を含む複数の国・地域の居住者に、サービスを使う前の本人確認を求めている（当サイトが2026年11月1日に原文を確認した内容）。日本から規約どおりに使えば、身分証の画像を提出することになる。AML/KYCポリシーによれば、本人確認はSumsubが直接扱い、提出された書類を保存・処理するのもSumsubだ。ChangeNOWが画像そのものを受け取って保存する範囲は、この文書からは確認できない。

ここから分かるのは、取引所を避けても本人確認の情報の行き先がなくなるわけではないということだ。国内の取引所なら、提出先は日本の法律の下にある一社と、その委託先になる。海外のスワップサービスなら、提出先は海外の事業者と、原則としてドイツで処理し6か国に移転しうる代行業者になる。海外の事業者にも、日本にいる人に役務を提供することに関連して日本の居住者の個人情報を扱う場合には、個人情報保護法が適用されることがある（域外適用、法第171条）。ただし、監督や権利行使の実効性は国内の事業者と異なりうる。ここで挙げた個別の事業者に域外適用が及ぶかどうかは、当サイトは判断していない。どちらが利用者にとって望ましいかは脅威モデルによるが、提出先が一つ増えるたびに、記録の写しが置かれる場所と、それを管理する規則の数が増えることは変わらない。

漏えい事例と二次被害#

Coinbase 2025: 内部の担当者が持ち出した本人確認画像#

米国の大手取引所Coinbaseの親会社は、2025年5月15日、米証券取引委員会（SEC）に提出したForm 8-KのItem 1.05「重要なサイバーセキュリティ・インシデント」で、顧客データの流出を開示した。

8-Kによれば、同社は2025年5月11日、正体不明の攻撃者から、一部の顧客アカウントの情報と社内文書を入手したとし、公表しない見返りに金銭を要求するメールを受け取った。攻撃者は、米国外でサポート業務に就いていた複数の委託先の人員や従業員に金を払い、業務のためにアクセスできた社内システムから情報を集めさせていたとみられる、と同社は書いている。こうした業務上の必要のないアクセスは、それ以前の数か月の間に同社の監視で個別に検知され、関係者は解雇されていた。脅迫メールを受けて、同社はそれらが一つの攻撃の一部だったと結論づけた。

流出したデータとして8-Kが挙げるのは、氏名、住所、電話番号、メールアドレス、社会保障番号の下4桁、一部を伏せた銀行口座番号と口座の識別情報、運転免許証やパスポートなどの政府発行の身分証の画像、残高のスナップショットと取引履歴を含むアカウントのデータ、そしてサポート担当者が閲覧できた社内文書などだ。パスワードと秘密鍵は含まれず、担当者が顧客の資金に触れることはできなかったと同社は書いている。同日の同社ブログは、要求額を2,000万ドルとし、支払わずに同額の報奨金を設けると発表した。対象は月間取引ユーザーの1%未満だとしている。8-Kは、対策費用と顧客への自主的な補償で、約1億8,000万ドルから4億ドルの費用を暫定的に見積もった。

影響を受けた人数について、米メイン州の司法長官に提出された届出では69,461人とされ、データの持ち出しは2024年12月26日に始まっていたと、SecurityWeekなどが報じている。当サイトはメイン州の届出の原本を閲覧できなかった（アクセスが拒否された）ため、この二つの数字は報道経由の情報として扱う。

この事例が示すのは、本人確認の画像が「本人確認の部署」だけに置かれているわけではないということだ。8-Kによれば、サポート担当者が業務上アクセスできる社内システムから、本人確認の画像、残高、取引履歴などが持ち出された。外部からの侵入ではなく、そのシステムにアクセスできる人を買収するだけで、身分証と資産状況の組がまとめて持ち出された。

コインチェック2020: 問い合わせメールに添付された「IDセルフィー」#

国内にも、本人確認の画像が想定外の経路で漏れうることを示した事案がある。コインチェックは2020年6月3日付の最終報告で、同社が利用していたドメイン登録サービス「お名前.com」の同社アカウントが不正に操作され、ドメインの登録情報が書き換えられたと公表した。発生期間は2020年5月31日0時5分頃から6月1日20時52分頃までで、その間と直前に同社に問い合わせた約300名について、宛先のメールアドレスと、メールに書かれた情報が流出した可能性があるとした。後者には「お名前／登録住所／生年月日／電話番号／IDセルフィー」が含まれている可能性があると同社は書いている。

取引所の本人確認システムそのものは破られていない。利用者がサポートへの問い合わせのメールに書き、添付した情報が、メールの経路ごと第三者の手に渡りうる状態になった。本人確認の画像は、提出した瞬間だけでなく、その後のやり取りでも複製されていく。

Ledger 2020: 本人確認ではない記録でも、住所は狙われる#

ハードウェアウォレットのLedgerの事案は、取引所の本人確認の漏えいではない。それでも、暗号資産の利用者の住所が漏れたときに何が起きるかを示している。同社CEOの2020年12月21日のメッセージによれば、ECとマーケティングのデータベースから盗まれたデータがフォーラムで公開され、約100万件のメールアドレスに加え、約27万2,000人分の氏名、郵便の住所、電話番号が含まれていた。それまで同社が把握していた詳細な情報の件数は9,532件だった。同じメッセージは、多くの顧客がメールとSMSのフィッシングの標的になっていること、配送先の住所が漏れたことで物理的な攻撃を懸念する声があることに触れ、漏れたデータとウォレットの資金を結びつける方法はないと説明している。同社はこの漏えいがEC関連の情報に限られると書いている。

二次被害の経路#

三つの事案から、漏れた情報が被害につながる経路を整理できる。

最も直接的なのはなりすましだ。Coinbaseのブログは、攻撃の目的を、Coinbaseを装って連絡し、暗号資産を渡させるための顧客リスト作りだったと説明している。氏名、電話番号、残高、取引履歴を知っている相手から「あなたのアカウントが危険です」と電話がくれば、本物のサポートと区別するのは難しい。同社は、パスワードや2段階認証のコードを尋ねたり、新しいアドレスへの資産の移動を求めたりすることはないと呼びかけた。

次に、身分証の画像そのものの悪用がある。顔写真と書類の画像の組は、まさに上で見た「ホ」の方法で他人になりすまして口座を開くための材料になりうる。2027年4月の施行規則の改正は、精巧に偽変造された本人確認書類の悪用を背景にしていると警察庁は説明している（これは改正の背景としての説明で、Coinbaseの流出データがそうした悪用に使われたかどうかは、当サイトは確認していない）。

最後に、住所と資産の組が物理的な脅迫につながる懸念がある。Ledgerの顧客が物理的な攻撃を心配したのは、暗号資産を持っていそうな人の住所の一覧が公開されたからだ。Coinbaseの流出は、住所に残高のスナップショットが加わっている点で、同種の懸念をより強く持たせるものだったとみられる。ただし、これらの漏えいデータが実際の物理的な襲撃に使われたことを示す一次資料を、当サイトは確認していない。

削除請求の限界と防御の考え方#

法定保存期間の間は、消してもらえない#

個人情報保護法第35条は、利用する必要がなくなった場合や、漏えい等の報告義務が生じる事態が起きた場合などに、本人が保有個人データの利用停止や消去を請求できると定めている。漏えいの通知を受けた人が、自分の本人確認の画像を消してほしいと考えるのは自然だ。

しかし、犯収法の保存期間の間は、この請求はほぼ通らないと考えたほうがよい。個人情報保護委員会のガイドライン（通則編、令和7年6月一部改正）は、利用する必要がなくなった個人データを遅滞なく消去する努力義務（法第22条）について、「法令の定めにより保存期間等が定められている場合は、この限りではない」と書いている。取引所が確認記録を7年保存するのは法令上の義務であり、その期間は「利用する必要がなくなった」とは言えない（ここから先、第35条の請求が実際にどう判断されるかは個別の事情によるが、保存義務のある記録の消去が認められる場面は限られるとみられる）。bitFlyerのポリシーも、利用停止等の請求に応じる旨を書いたうえで、法令により義務を負わない場合はこの限りではないと付け加えている。

代行業者の側も同じだ。Sumsubは、保存期間を決めるのは顧客企業であり、消去の請求は顧客企業にするよう案内している。ただし、取引所の法定保存義務と、委託先にコピーを置き続ける必要は別の話だ。Sumsubの通知は、場面によってはデータを顧客企業に移したうえで、バックアップを残さずに自社のサーバーから消去すると書いている。委託先がどれだけの期間保存するかは、契約、処理の目的、適用される法律によって決まり、取引所の7年からは直接は分からない。

つまり、本人確認の情報は一度出したら少なくとも7年は戻らない。口座を閉じても、閉じた日から7年の時計が動き出すだけで、その日に消えるわけではない。

提出先を減らす#

消せないなら、出す先を減らすしかない。これは本人確認を逃れることとは違う。必要な取引には正直に本人確認を受け、そのうえで、本人確認の情報を持つ事業者の数を自分で管理するという考え方だ。

一つの取引所で本人確認をすれば、確認記録は一社と、その委託先に置かれる。キャンペーンのたびに新しい取引所で口座を開けば、そのたびに別の会社と、場合によっては別の代行業者に、顔と書類の画像の写しが一組ずつ増える。漏えいの確率は、記録を持つ事業者の数に比例して増えると考えるのが自然だ（推論であり、事業者ごとの管理水準の差は考慮していない）。使っていない口座は、閉じれば7年の時計が動き出す。開いたまま放置すれば、時計は動かない。

国内取引所と海外サービスの選択も、この観点で比べられる。国内の登録業者は、JVCEAの「暗号資産の取扱いに関する規則」第4条第3項により、移転記録の追跡ができない、または著しく困難な暗号資産を、問題が解決されない限り扱わない。Moneroを手に入れようとすれば海外のサービスに向かうことになり、本人確認の提出先はそこで一つ増えうる。国内の取引所は、犯収法、個人情報保護法、内閣府令の下で、漏えいの報告や委託先の監督の義務を負う。海外のスワップサービスで本人確認を求められれば、その情報は海外の事業者と、その代行業者に渡る。海外の事業者にも日本の個人情報保護法が適用される場合はある（域外適用）が、監督や権利行使の実効性は国内の事業者と異なりうる。どちらが安全だと一般論で言うことはできないが、少なくとも「アカウント不要」のサービスを使えば本人確認の情報がどこにも出ない、と考えるのは誤りだ。

区画を分ける#

本人確認の情報そのものは偽れない。変えられるのは、取引所の記録とほかの生活を結ぶ付随的な情報だ。

取引所に登録するメールアドレスと電話番号を、普段使いのものと分ける。そうしておけば、取引所の顧客データが漏れても、漏れたメールアドレスがSNSやほかのサービスのアカウントと直接つながりにくくなる。カンパートメント化のワークシートの考え方で言えば、取引所は「実名の区画」に属し、その区画の連絡先を、匿名で運用したい区画と共有しないということだ。氏名と住所は法律上偽れないが、それ以外の識別子まで実名の区画と匿名の区画で共用する必要はない。

本人確認の画像を、取引所の所定のアップロード画面以外で送らないことも、同じ区画の考え方に入る。コインチェックの事案が示したように、サポートへのメールに添付した画像は、本人確認のシステムとは別の経路に複製される。

送金については、取引所から出金したアドレスと、取引所に入金したアドレスには、取引所の記録で自分の名前がついていると考えて扱う。そのアドレスを、匿名で運用したい支払いに直接使わない。この考え方の具体的な手順はチェーン解析の記事の自己点検の節で扱った。

漏えいの後の被害を減らす対策もある。Coinbaseが呼びかけた出金先アドレスの許可リスト（あらかじめ登録した送り先にしか送れない設定）と、ハードウェアキーによる2段階認証は、なりすましの電話にだまされたときに資金が動くまでの関門を増やす。取引所を名乗る電話がかかってきたら、その電話で何も答えず、自分で公式アプリを開いて確認する。

限界と残るリスク#

この記事の防御は、記録を持つ事業者の数を減らし、漏れたときの被害を小さくするものだ。法執行機関に対しては、ほとんど効かない。合法に保存された確認記録と取引記録は、照会や令状で取り寄せられうるし、疑わしい取引の届出は利用者に知らされない。トラベルルールで別の取引所に通知された氏名も、その取引所の記録として7年残る。こうした記録を隠したり、本人確認で事実を偽ったりすることは、この記事が勧めるものではなく、犯収法が禁じている。

提出先を減らしても、一社に預けた記録が漏れる可能性は残る。Coinbaseの事例は、管理体制を整えた大手でも、内部の人を買収されれば記録がまとめて持ち出されることを示した。取引所の委託先がどこで、どの国にデータを移転しているかを、利用者が完全に把握することもできない。

この記事が読んだ事業者の文書は、bitFlyer、Sumsub、ChangeNOWの公式文書と、漏えいを公表した三社の発表に限られる。ほかの取引所や代行業者が同じ運用をしているとは限らない。また、2027年に予定されている施行規則と犯収法の改正は、本人確認の方法と取引所の法的な位置づけを変える。保存期間の7年は将来版の条文でも変わっていないが、施行時点の条文は改めて確認する必要がある。

まとめ#

暗号資産を国内の取引所で売り買いしているだけの人は、今日、自分が本人確認をした取引所の数を数えてほしい。使っていない口座があれば、残高を移して閉じる。閉じた日から7年で確認記録の保存期間が終わる。開いたままなら、その時計は動かない。あわせて、各取引所に登録しているメールアドレスと電話番号が、普段のSNSと同じものかどうかを確かめる。同じなら、取引所専用の連絡先に切り替えることを検討する価値がある。

匿名で発信や取材を続けている人、つまりジャーナリスト型の脅威モデルにある人は、取引所の記録を「消えない実名の区画」として扱い、そこから出金したアドレスや、そこに登録した連絡先を、匿名の活動の側で一度も使っていないかを点検してほしい。本人確認を求めるサービスを新しく使う前には、そのサービスのプライバシーポリシーで委託先と国外移転の記述を探し、自分の顔と書類の画像がどの国の誰の手に渡るのかを知ったうえで判断する。それを知る手間が、7年残る記録の重さに見合うかどうかを考えることが、この記事で伝えたかった防御の出発点になる。

出典#