暗号資産の脅威モデルにウォレットだけでなく自宅住所も含まれるように

フランスの一家が暗号資産アドレスの漏洩後に拘束され強盗に遭った事件は、データ侵害と保持が保有者を暴力にさらすことを浮き彫りにしている。専門家は、データ保持の見直しとプライバシー技術の必要性を指摘する。

21/09/2026 14:57約 14 分で読めます

9月20日、フランス北部の住宅に武装した男4人が押し入り、両親とその子供2人をテープで拘束し、暗号資産分野のIT従業員である父親にアクセスコードを提供して4万ユーロを送金するよう圧力をかけた。捜査当局は容疑者がどのようにして彼を特定したかを明らかにしておらず、その不明点こそが業界のデータ脆弱性が存在する場所である。

父親は暗号資産業界でITワーカーとして給与を得ている。検察は攻撃者が彼をどのように標的にしたかをまだ明らかにしていない。

フランスは世界の暗号犯罪の中心地となったのか？

仮面をかぶった男4人がフランスの民家に押し入り、両親とその子供2人を縛り上げ、父親に4万ユーロの暗号資産を送金するよう強要した。

その数字は憂慮すべきものだ：

• 暗号関連の犯罪とその試みが77件、発生している… pic.twitter.com/MnHBJ47QWA
— BeInCrypto（@beincrypto） 2026年9月21日

同じ月に起きた別の出来事は、そのような情報がどれほど簡単に表面化し得るかを示した。8月13日、ハードウェアウォレットメーカーのTrezorは、配送業者の1つが侵害を受け、13,689人の顧客にその事実を通知した。その数は後に80,000を超えた。

[…]

これらは合わせて、自宅住所と暗号資産の所有証明を結び付けるデータベースと、そのリンクに基づいて誰かが行動した場合の結果という、2つの方向からの同じ露出を示している。

BeInCryptoはHackenとZamaの専門家に、サプライヤーが顧客の身元を漏らした場合にプロバイダーは顧客に何を負っているのか、業界が保持をやめるべきデータはどれか、そして顧客がカストディアンが…することをどのように検出できるかについて相談した。

「鍵は侵害されていない」が語らないこと

Trezorが8月に侵害を開示した際、同社は何が起こらなかったかを強調した。自社のシステムは侵害されておらず、デバイスは安全なままだと述べた。

[…]

しかし、HackenのGRCおよびセキュリティオペレーション責任者であるDmytro Yasmanovych氏は、秘密鍵が盗まれていないことは顧客が安全であることを意味しないと指摘した。

[…] 「あなたの名前、自宅住所、そしてハードウェアウォレットを所有していることを知っている人は、あなたを標的にするために使える情報を持っています。…自宅住所では同じことはできません。」 […] 暗号資産保有者を自宅に結び付けるデータベースがあれば、その影響は家族にも及ぶ可能性があるとYasmanovych氏は付け加えた。

「つまり、プロバイダーが誰かにあなたの資金にアクセスするのを防いだとしても、はるかに個人的な形であなたをさらされ続けさせることができるのです。問題は、そのセキュリティ対策がウォレットだけでなく顧客を保護しているかどうかです。」

警告の背後にあるフランスの数字

フランスはそのシナリオがどのようなものかを示している。ローラン・ヌネーズ内務大臣は6月下旬、当局が70件以上の暗号関連の暴力犯罪を記録したと述べた。

[…]

公に報告された事件を数えているChainalysisは、2026年半ばまでにフランスで30件を記録した。前年全体では19件だった。

[…]

同社はその増加の原因はおそらくデータ侵害にあるとしている。2024年にはフランスの税務職員が高額所得の暗号資産保有者の個人情報を含む書類を盗み、住所や電話番号を含むそれらを犯罪仲介者に売却した疑いがあると引用している。

Yasmanovych氏が説明する家族への露出は、同じデータに見られる。フランスでは、事件の40%以上が保有者ではなく親族を標的にしていた。全体では、住居侵入は2026年半ばまでに文書化された攻撃の37%を占め、2023年の26%から増加した。

Chainalysisは、世界の保有者への暴力的攻撃により、上半期だけで3,000万ドル以上が奪われたと推定している。これは保有者が資金を明け渡した攻撃のみを数えている。

[…]

標的の背後にあるデータ

これらの攻撃には標的が必要であり、標的は誰かが保持した記録から得られる可能性がある。そのため、データ保持は暗号資産業界にとってもう一つのセキュリティ上の懸念事項となっている。

[…] では、業界が収集をやめるべき、または現在よりも早く削除すべき顧客情報はどれか？ […] 同氏は、企業が配送を手配するために住所を必要とするかもしれないが、それが何年も顧客データベースに残るべき理由にはならないと説明した。 […] 「注文と物理的な配送先住所の間のリンクは、配送が完了し、それを保持する事業上の理由がなくなったら削除します。企業は、税務や保証の目的で必要なものは、すべての注文が配達された場所の完全な記録を保持することなく保持できます。」 […] 「あるケースでは、ある企業が90日の保持ルールと、古い記録が削除されたという履行パートナーからの書面による確認を持っていました。しかし、何年分ものデータがまだ彼らのシステムに残っていました。…ルールが守られたかどうかを誰もチェックしなければ、そのルールはほとんど保護になりません。」

同じ責任は、顧客情報が漏洩した後に何が起こるかにも適用される。[…] 氏名、自宅住所、暗号資産の所有証明は、高度なレベルのリスクを生み出す。住所が漏洩した人は、それを再び明かさずに将来の配送を手配するための支援が必要になるかもしれない。連絡先となる直接の担当者またはチームが必要です。サプライヤーが合意された保持期間を超えてデータを保持する場合、顧客はそれがどのように防止され、将来削除がどのように検証されるかを知らされるべきです。

[…] 人々は、何が起こったのか、今何ができるのか、そして会社が実際に失敗したプロセスを修正したかどうかを知る必要があります。」

Trezorの自社の侵害への対応は、そのリストに対して測定できます。同社は影響を受けた顧客に個別にメールを送り、露出が完全か部分かを指定し、フィッシングと、9月には物理的セキュリティリスクについて警告しました。

[…]

現在、匿名配送オプションに取り組んでおり、EU向けには9月までに、米国向けには年末までに準備が整う予定です。

これにより、購入を自宅住所や実世界の身元に結び付けることなく、ハードウェアウォレットを注文するより安全な方法が提供されます。

-…
— Trezor（@Trezor） 2026年8月13日

プライバシー技術はギャップを埋められるか？

この問題は、企業がオフチェーンで保存するデータに限定されない。[…] Rand Hindi氏は、Trezorのインシデントはオフチェーンでのデータ保持の問題を浮き彫りにしていると述べた。

[…] Hindi氏は、BCGの見積もりを引用し、デジタル実世界資産は約16%に達する可能性があると述べた […] 3つのサブカテゴリーは非常に異なる段階にある：

— 暗号資産：約3兆ドルの市場、現在の収益プール
— ステーブルコイン：約3,000億ドル、最も急速に成長している通貨レイヤー… pic.twitter.com/tDfNzm7G6C— Sygnum Bank（@sygnumofficial） 2026年5月19日 […] 同幹部は、準拠を犠牲にせずにこれに対処する1つの方法として、完全準同型暗号（FHE）を挙げた。 […] 規制当局がアクセスを要求する場合、許可された鍵保持者のしきい値（コンプライアンスチーム）が、プロトコルレベルで強制される復号化を承認する。ポリシーを通じてではない。」 […]

Yasmanovych氏は、ゼロ知識証明により、すべての顧客の残高を公開することなく、取引所が顧客の残高をカバーするのに十分な資産を保有していることを証明できると述べた。

取引所はしたがって、全体的なポジションの証拠を共有でき、個々のアカウント情報を […] 専門家は、これは情報がアクセスできなくなることを意味しないと付け加えた。 […] 「取引金額、タイミング、ウォレットの接続は表示されたままになる可能性がありますが、身元確認書類と自宅住所は、取引所、配送、支払いのデータベースに残り続けます。」 […]

認証情報が本物で、顧客が自由でない場合

取引のプライバシーと個人の安全の区別は、顧客が送金を強制された場合にさらに重要になります。カストディプロバイダーは、安全なインフラと強力なアクセス制御を持っている場合があります。

しかし、これらの保護は、顧客が資産を明け渡すことを強要された場合、異なる試練に直面します。

[…] これは、誰かが資産を明け渡すことを強制された場合に何が起こるかを理解するのにはあまり役立ちません。 […] たとえば、有効な認証情報を持つ顧客が、誰かに強要されている間に多額の送金を要求したとします。 […] ポリシーで2番目の承認を要求することはできますが、承認が本当に独立しているかどうか、またはスタッフがそれをバイパスできるかどうかはわかりません。 […]

カストディシステムは設計どおりに機能しても、それを使用する人を失敗させることがあります。 […]