ビットコイン取引はユーザーが気づく以上に情報をさらけ出す

ビジネスの観点から見ると、ビットコイン取引には、ほとんど見落とされているリスクがあります。企業が同じウォレットアドレスを使って仕入先に支払うと、受取人はその1回の支払いだけでなく、それ以上の情報を見ることができます。

まさにこの瞬間、競合他社がブロックエクスプローラーを使って、あなたが行ったすべてのビットコイン支払い（金額、タイムスタンプ、取引相手）を閲覧できる可能性があります。これは、活動を隠そうとする人だけの懸念ではありません。これは継続的なビジネスリスクを表しています。時間をかければ誰でも、財務活動、パートナーシップ、取引の流れを追跡できるのです。

多くの人は、情報漏洩は取引が署名されたときにオンチェーンで始まると想定しています。それは誤りです。2026年7月、KUルーヴェンのDistriNetグループは、広く使われている85のブラウザ拡張型ウォレットを調査し、これらのウォレットが、取引が発生する前であっても、ユーザーをフィンガープリントし追跡するためにデータを漏洩させ得ることを発見しました。

ウォレットが残高を表示するために外部サーバーにpingを送信すると、そのリクエストはウォレットアドレスを平文で送信します。これはバグではありません。拡張機能は設計どおりに機能しています。テストされた85のうち、36のウォレット（調査されたインストール数の約82%を占める）にこのフィンガープリントの脆弱性があり、以降のすべての統計はそのグループを指しています。

これは正規のユーザーにも当てはまります。暗号犯罪を長年取材してきたアンディ・グリーンバーグ氏は、犯罪者がブロックチェーンが自分たちの活動を隠していると信じているのを10年間見続け、最終的に捜査官が彼らを特定するのを目の当たりにしました。彼は最終的に、ビットコインがいかに「追跡不可能」ではなかったかを悟りました。保護を提供するはずだった台帳が、有罪判決につながる証拠になったのです。

誤った自信は通常、自分はプライベートだと思っているが実際には何も隠していない人々に影響します。寄付が公開される寄付者、支払いから源泉が推測されるジャーナリスト、あるいは前述のビジネスの取引相手などです。

この情報漏洩の多くは、能動的ではなく受動的です。この記事では、情報漏洩の全容を検証し、ユーザーが制御できる唯一のリンクを特定します。

取引自体以外にウォレットから漏れるもの

暗号ウォレットは、取引が発生する前にデータを開示することがあります。残高を表示するために、ブラウザウォレットは一般的に外部サーバーにpingを送信し、ウォレットアドレスを送信します。KUルーヴェンの調査は、約3500万のChromeウェブストアインストールを有する85の拡張機能を対象としました。そのうち、36のウォレット（インストール数の約82%）がこの方法で識別され追跡される可能性がありました。

約2300万のインストールを有する17のウォレットは、同じ人物が使用する複数のアドレス間の関係も明らかにする可能性がありました。36の脆弱なウォレットのうち22については、ユーザーが許可を取り消してブラウザを再起動した後でも、ウェブサイトはアドレスにアクセスできました。

追加の問題：ウェブサイトは、ユーザーがウォレットとやり取りしなくても、どのウォレット拡張機能がインストールされているかを頻繁に識別できます。研究者らはまた、影響を受けた36のウォレットのうち23が、クリックなしでも、サードパーティサイトから読み込まれたコンテンツを介してアドレスを漏洩させる可能性があることを発見しました。

研究者らが連絡したほとんどのウォレットプロバイダーは、これを重大な欠陥とは考えていませんでした。Coinbaseウォレット、Coin98、Hanaは変更を実装しましたが、MetaMask、Rabby、OKXなどは実装しませんでした。研究者らはまた、30の分散型アプリを調査しました。ユーザーが「切断」をクリックしたかログアウトしたときに、ウォレットへのアクセスを正しく取り消したのはわずか11でした。

アドレスが露出すると、公開ブロックチェーンが残りの詳細を提供します。

ブロックチェーン分析会社は、複数のアドレスが同じ個人または組織によって管理されていることを示す取引パターンを検索します。

たとえば、複数のウォレットが互いに頻繁に資金を送金したり、同様の動作をしたりする場合、クラスタリングソフトウェアはそれらを関連付けることができます。その結果、特定された1つのアドレスが、他の多くのアドレスを明らかにすることができます。

このプロセスは大規模に行われます。2026年半ばまでに、Chainalysisは10億以上のブロックチェーンアドレスを134,000以上の既知のエンティティにグループ化したと報告しました。

ブロックチェーン間で資金を移動しても、必ずしも痕跡が消えるわけではありません。アナリストは、クロスチェーンブリッジを介して資産を追跡できます。分散型取引所のスワップもブロックチェーン上に公開されて記録されるため、取引を自動的に隠すことはできません。

結果は単純です。ウォレットアドレスはランダムな文字列のように見えますが、十分なアクティビティがリンクされると、包括的な財務プロファイルを形成できます。

実際の例がこれを示しています。2021年のコロニアル・パイプラインのランサムウェア攻撃後、米国当局はビットコインを複数のウォレットにわたって追跡し、4,400万ドルの身代金のうち約230万ドルを回収しました。

Helix：隠そうとしても騙せないメカニズム

ビットコインの初期の頃、Helixはダークネット市場で人気を博しました。その唯一の目的はビットコインを追跡不可能にすることでした。2014年から2017年まで、ラリー・ディーン・ハーモンはミキサーとして運営し、顧客のコインを混ぜてその起源を隠し、その結果を「クリーンな」ビットコインとして宣伝しました。事業全体は隠蔽を中心に構築されており、コインの出所と宛先の間のリンクを断ち切ることだけを目的としていました。

約354,468 BTC（当時約3億1,100万ドル相当）がHelixを通過しました。ミキシングは痕跡の外観を変えましたが、それを排除しませんでした。各コインはブロックチェーン上に消えない記録を残し、不変で永続的でした。

ハーモンは各スワップに2.5%の手数料を請求し、その手数料は他のコインとともにブロックチェーン上に永久に追加されました。隠蔽サービスを運営することで得た手数料が、彼に結びつく証拠を生み出しました。痕跡を消すことを目的としたサービス自体が、消えない痕跡にその所有者を刻印することになったのです。

ウォレットの痕跡が実在の人物に結びつく仕組み

Helixは、ビットコインを移動しても痕跡の消去が保証されないことを示しています。しかし、資金の追跡はプロセスの一部にすぎません。アナリストは依然として、ウォレットアドレスを実際の個人や企業にリンクさせる必要があります。

これは通常、資金が規制された取引所に到達したときに発生します。取引所は、どの入金アドレスが顧客のものであるかの記録を保持し、KYC本人確認を実施します。捜査官がビットコインをそのようなアドレスまで追跡した場合、法的手続きを通じてアカウント情報を入手できます。

単一のリンクは、単一の取引よりもはるかに多くのものを明らかにする可能性があります。ブロックチェーン分析が複数のアドレスを共通の所有者の下にクラスタリングしている場合、1つを特定することで、クラスター全体に名前が付けられます。取引所はプラットフォームとやり取りしたアドレスのみを認識している可能性がありますが、以前のクラスタリングにより、それが他のアドレスに結び付けられます。

法的手続きが必要ない場合もあります。個人や企業は、自らのウォレットアドレスをウェブサイト、寄付ページ、Telegramグループ、公開プロフィールで公開することがよくあります。アドレスが名前と公然と関連付けられると、その過去のすべての取引が閲覧可能になります。

企業にとって、これは根本的なプライバシーの問題を引き起こします。仕入先に支払うと、以前の支払い、財務活動、他のパートナーが明らかになる可能性があります。ブロックチェーン取引は不変でタイムスタンプが付いているため、特定された1つのウォレットは、何年にもわたる活動の再構築を容易にします。

ブロックチェーン追跡が間違う可能性がある場合

これは、ブロックチェーン分析が完璧であることを意味するわけではありません。

ウォレットをリンクするシステムは、パターンと確率に大きく依存しています。それらは偽陽性と偽陰性の両方を生み出す可能性があります。つまり、正当なアクションがフラグ付けされたり、不正なアクティビティが見逃されたりする可能性があります。

1つの問題は取引履歴です。ビットコインは何度も譲渡される可能性があります。コインがかつてミキサーやフラグ付けされたウォレットを通過した場合、その後の所有者は、以前の使用と無関係であっても、リスクプロファイルを引き継ぐ可能性があります。

受け取ったビットコインが以前にミキサーを通過したために、ピアツーピアの買い手のアカウントが凍結されたという文書化されたケースがあります。

取引所や同様の規制対象エンティティにとって、そのようなエラーは実際のコストを伴います。偽陽性は、正当な顧客の資金を凍結し、コンプライアンスとカスタマーサービスの問題を引き起こす可能性があります。

追跡企業にも限界があります。Moneroのようなプライバシー重視の暗号通貨は、追跡がはるかに困難です。捜査は、資金が非協力的な管轄区域の取引所に到達した場合にも停止する可能性があります。

最大のブロックチェーン分析会社でさえ、大幅な修正を発表しています。2025年初頭、Chainalysisは、北朝鮮が前年に盗んだ暗号通貨の推定額を10億ドルから6億6050万ドルに引き下げました。これは、いくつかのハッキングを再評価した後、3億ドル以上の削減です。

これらのシステムの信頼性は法廷でも争われてきました。Bitcoin FogやTornado Cashなどの事件の弁護士は、外部関係者が徹底的にレビューできない独自ソフトウェアによる分析の信頼性に異議を唱えました。

Chainalysisが米国政府の主要な請負業者でもあるため、この精査は重要です。連邦記録からの独立した報道により、同社が9,300万ドル以上の政府契約を受け取ったことが明らかになりました。

誤った結果による最大のリスクは、無実のユーザーが負います。誤ったリンクはアカウントを凍結する可能性があります。保護が弱い管轄区域では、同じ追跡ツールが、ドナー、ジャーナリスト、または政治的敵対者に資金を提供する人々をさらす可能性があります。ブロックチェーンの追跡は多くのことを明らかにできますが、その調査結果は自動的に正確であると見なされるべきではありません。

ユーザーがまだ制御できる痕跡の一部

上記の情報漏洩の大部分は、ユーザーの制御なしに発生します。ウォレットは、取引前にアドレスを漏洩する可能性があります。ブロックチェーン分析はアドレスをクラスタリングでき、規制された取引所はKYCデータを介してウォレットを実際のIDにリンクできます。

ユーザーがまだ管理できるのは、送信者と受信者の直接のリンクです。1つのウォレットが別のウォレットに支払うと、その接続はオンチェーンに永続的に記録され、後で取引相手、財務活動、ビジネス上の関係をさらす可能性があります。

ChangeNOWは、その直接のリンクを排除するために、Private Transfersと呼ばれる機能を開始しました。このサービスは、支払いを一意のワンタイムアドレスにルーティングするため、受信者は送信者から直接資金を受け取りません。これにより、完全な匿名性を主張することなく、可視の送信者と受信者の経路が断たれます。

他の形式の情報漏洩は残ります。ウォレットのメタデータは依然として漏洩する可能性があり、ブロックチェーン分析は周囲のアクティビティを追跡でき、AMLチェックは入金、送金、支払いの各ステップで引き続き行われます。

APIパートナーの場合、Private Transfersは既存の送金システムへのオプションの追加です。同じAPIキーと手数料体系を使用し、別の製品や統合は必要ありません。その目的は限定的です。ユーザーが作成しないことを選択できる1つの可視リンクを削除することです。

結論

最初のポイントに戻りましょう。アンディ・グリーンバーグ氏はかつてブロックチェーンがユーザーを隠すと信じていましたが、長年の観察の後、彼は反対の結論に達しました。「ビットコインがどれほど『追跡不可能』ではなかったかを理解するのに10年かかりました」。これがこの記事全体の基盤です。完全な追跡不可能性は存在しません。ウォレットの漏洩、チェーンの記録、クラスタリングはすべて、名前に行き着きます。

それが関連する視点です。10年にわたって追跡されたコインが示すように、匿名性は「物語」ではなく「特性」であるというものではなく、どの層が閉じ、どの層が開いたままかを明確に説明することです。Private Transfersは、ユーザーが作成しないことを選択できる唯一のリンクを削除します。