|

中国語系マネーロンダリングネットワークが暗号資産犯罪経済の主要な媒介役に、全体の20%を占める

要点

  • パンデミック初期に台頭した中国語話者向けマネーロンダリングネットワーク(Chinese Money Laundering Network: CMLN)は、現在では既知の暗号資産マネーロンダリングの中心的な担い手となっており、過去5年間に不正な暗号資産資金のおよそ20%を処理したと推計されます。このCMLNへの流入の伸びは、2020年以降の中央集権型取引所への不正流入の伸びと比べて7,325倍のスピードです。
  • CMLNは2025年に161億ドルを処理しており、1,799以上のアクティブウォレットで1日あたり約4,400万ドルに相当します。
  • Chainalysisは、CMLNエコシステムの中に6種類の明確に異なるサービス形態が存在し、それぞれに固有のオンチェーン上の行動パターンがあることを特定しました。Black Uやギャンブル系サービスは、大口トランザクションを複数の少額に分割して検知を回避する一方、相対取引型(Over-the-Counter、OTC)サービスは少額トランザクションをまとめて大口に集約し、資金を統合します。
  • HuioneやXinbiのような担保プラットフォームは、マネーロンダリング業者が集まるハブとして機能しますが、基盤となる取引活動自体を管理しているわけではないため、本分析の集計指標には含めていません。法執行機関による取締りは一定の打撃を与えてきたものの、業者は別のチャネルへと移動するだけであることが多く、洗浄オペレーター本人を直接的に狙う必要性が浮き彫りになっています。

不正なオンチェーンのマネーロンダリングエコシステムは、ここ数年で劇的に拡大しており、2020年の100億ドルから2025年には820億ドル超へと増加しました。[1] この大幅な総額の伸びは、暗号資産へのアクセス性と流動性の高まりに加え、マネーロンダリングがどのような手口で、誰によって行われているかという点で、構造的な変化が起きていることを反映しています。

下のチャートが示すとおり、中国語話者向けマネーロンダリングネットワーク(CMLN)は、既知の不正なマネーロンダリング活動に占める割合を2025年には約20%まで高めています。この地域的な結び付きは、当社が観測するオフランプ(暗号資産から法定通貨などへの出口)のパターンからも裏付けられます。例えば、本レポートの詐欺に関する章で述べたように、CLMNは現在、pig butchering(ロマンス詐欺)スキームで盗まれた資金の1割超を継続的に洗浄するまでに拡大しており、同時に中央集権型取引所の利用が一貫して減少しています。これは、取引所が資金を凍結できることが一因と考えられます。

他のマネーロンダリング先と比較すると、2020年以降、特定されたCMLNへの流入額の増加ペースは、中央集権型取引所への流入に比べて7,325倍、分散型金融(DeFi)への流入に比べて1,810倍、不正アクター同士のオンチェーン上の資金移転に比べて2,190倍となっています。CMLNだけがオンチェーンマネーロンダリングを支える存在というわけではありませんが、中国語話者向けのTelegramベースサービスは、属性が明らかになっている世界全体のオンチェーンマネーロンダリングのなかで、非常に大きな比率を占めるようになっています。その結果、オンチェーン・オフチェーンを問わず、幅広い犯罪活動から生じた資金がこうしたサービスを通じて処理されています。

ここ数カ月の制裁指定や勧告を含むマネーロンダリング支援ネットワークへの一連の法執行措置により、世界中の被害者に影響を与える国家安全保障上の脅威が改めて明らかになりました。これには、米国財務省のOffice of Foreign Assets Control(OFAC)および英国HM Treasury傘下のOffice of Financial Sanctions Implementation(OFSI)によるPrince Groupの制裁指定、Financial Crimes Enforcement Network(FinCEN)がHuione Groupを主要なマネーロンダリング懸念先と指定した最終規則、さらにFinCENによる中国系マネーロンダリングネットワークに関する勧告などが含まれます。

こうした主要なマネーロンダリング媒介者は、近ごろ正当な形でより多くの注目を集めていますが、本章では初めて、これら大規模な地下マネーロンダリングネットワークが暗号資産をどのように利用しているかを詳しく分析し、そのエコシステムの規模を明らかにします。これらのマネーロンダリングネットワークは複数のプラットフォーム上で公然と活動しており、大量処理が可能な産業レベルの処理能力、高い業務継続性、そして高度な技術力を備えた複雑かつ多層的なオペレーションを展開しています。

161億ドル規模に達したCMLN

当社は、CMLNエコシステムを構成するサービスとして6つの明確に異なるタイプを特定しており、次のセクションでそれぞれを詳しく見ていきます。これらのサービス全体で、2025年にCMLNへ流入した資金は161億ドルに達しました。数年前まではごく一部の主体に限られていたこれらのネットワークは急拡大しており、2025年には1,799を超えるアクティブなオンチェーンウォレットが確認されています。

これらのオペレーションがスケールするスピードも、同様に大きな懸念材料です。各サービス種別について、そのカテゴリーで最初に資金を受け取ったアドレスを起点とし、累計で10億ドルを処理するまでに要した期間を比較すると、驚くほど短い立ち上がり時間と、サービスごとの顕著な違いが浮かび上がります。Black Uサービスはわずか236日でこの水準に到達した一方で、working level brokerは843日、OTCサービスは1,136日を要しました。cash mule(1,277日)やmoney motion service(1,790日)は相対的にペースが遅く、playing insiderサービスは、まだ10億ドルの閾値には達していません。全体として、CMLNエコシステムは2025年時点で1日あたり約4,400万ドルを処理している計算になります。

こうしたネットワークが短期間で急拡大している事実は、オフチェーンの犯罪ネットワークと強く結び付いていることを示しています。これほど大きな成長は、多額の資金プールが動員されない限り実現し得ないからです。また、オンチェーンとオフチェーンの両方にまたがる高度なオペレーション基盤が存在することも明らかになります。このエコシステムの中心には、CMLNの活動を支える要となっている中央集権型マーケットプレイスであるGuarantee platformが位置しています。

Centre for Finance & Security(CFS)at RUSIのDirectorであるTom Keatinge氏は、次のように述べています。「これらのネットワークは、非常に短期間のうちに数十億ドル規模の国境をまたぐビジネスへと発展し、欧州や北米の国際的な組織犯罪グループのニーズに合致した、効率的でコストパフォーマンスの高いマネーロンダリングサービスを提供するようになっています。なぜこれほど急速に発展したのかという問いに対する端的な答えは、中国における資本規制の導入がもたらした予期せぬ帰結だということです。資本規制を回避して中国から資金を持ち出そうとする富裕層が、西側に拠点を置く組織犯罪グループ向けのサービスを支える原動力と流動性プールを提供しているのです。この資本逃避を支援するプロフェッショナルな仲介者が、互いに独立しながらも相互に利益をもたらす2つのニーズを結び付ける役割を果たしています。」

同様に、Nardello & CoのManaging DirectorであるChris Urben氏は、「近年の中国系マネーロンダリングネットワークにおける最大の変化は、従来のBlack Market PesoやFei Qianといった非公式な価値移転システムに依存した地下銀行方式から、暗号資産への急速な移行です。暗号資産は、各国にまたがる複雑で手作業に依存した非公式台帳ネットワークに頼ることなく、国境を越えて資金をひそかに移動させる効率的な手段を提供しています」と説明しています。

Guarantee platform:CMLNエコシステムの要

Guarantee serviceは、主にCMLNにとっての集客チャネルおよびエスクロー機能を担うインフラとして機能します。ベンダーに対して一定の信頼メカニズムを提供する一方で、実際のマネーロンダリング活動そのものを管理しているわけではなく、当社の集計指標にも含めていません。ここ数年はHuioneとXinbiが市場を支配してきましたが、そのほかにも多くのGuarantee serviceが今も制限なく稼働を続けています。

Telegramが一部アカウントを削除したことでHuioneのGuarantee業務には中断が生じましたが、Huioneを利用していたベンダーは代替プラットフォーム上での利用や広告掲載を続けており、実際のオペレーションにはほとんど影響が出ていません。これらのハブは現在もベンダーと顧客をつなぐ役割を果たしていますが、多くのベンダーは複数のプラットフォームで広告を出しており、特定のサービスに依存してはいません。正規のeコマースプラットフォームと同様に、サービスの評価やレビューが不正エコシステム内部で一定の説明責任を生み出しており、下のスクリーンショットに示すように、ベンダーは自らの信頼性やサービス品質を公にアピールすることで市場での評判を築いています。

Screenshot exhibiting vendor’s service high quality claims, with conspicuous show of money possible as proof of liquidity and reserves (machine translated from unique Mandarin textual content).

 

Guarantee service上で広告を出しているCMLNは、不正資金を正規の金融システムに統合することを主目的として、さまざまなマネーロンダリング手法を提供しています。一部は、主流の暗号資産取引所を利用したロンダリングにアクセスするために、広範なmoney muleネットワークを活用し、別の事業者は自前のオンチェーンロンダリング基盤を運営しています。これらの手法はアプローチこそ異なるものの、いずれも「汚れた資金を洗浄する」という同じ目的を達成するためのバリエーションです。

CMLNを構成する6つの類型

CMLNは、多様な「laundering-as-a-service」ビジネスを提供しています。中国語話者向けベンダーの投稿を分析した結果、これらのサービスは主に6つの資金移動手法を用いていることが分かりました。すなわち、working level dealer、cash mule、OTC、Black U service、ギャンブルプラットフォーム、そして暗号資産のmixingやswapを提供するmoney motion serviceです。これらのオペレーションには数千ものベンダーが関与しており、その規模は数百億ドルに達します。こうした主体がどのように活動し、どのように包括的なロンダリングネットワークを形成しているのかを理解することは、今後の摘発機会を見極めるうえで極めて重要な示唆を与えてくれます。以下では、これらのサービスカテゴリを詳しく見ていきます。

1. Running level dealer:流入の入口

マネーロンダリングプロセスにおいて「working factors(跑分)」は、不正資金が流入する重要な入口として機能します。個人はベンダーの募集広告を通じて勧誘され、自らの金融アイデンティティを貸し出します。具体的には、銀行口座、デジタルウォレット、主流の取引所における入金アドレスなどを提供し、不正に得た資金を受け取って送金します。

広告では、多くの場合、当局が介入した際の法的責任や経済的損失はすべて参加者が負うことが明確に警告されており、この活動が違法であることに疑いの余地はありません。

もともとはオンラインギャンブル関連で集中的に利用されていましたが、working pointのサービスは、ロマンス詐欺、取引所ハッキング、Telegramを利用した人身取引など、暗号資産を使ったあらゆる不正活動のロンダリングにまで用途を広げています。この幅広い用途は、正規金融システムと犯罪の地下経済をつなぐ重要な架け橋としての機能性の高さを物語っています。

以下のChainalysis Reactorのグラフが示すとおり、working level brokerはさまざまな不正ソースからの資金を中継するルーティング機構として機能し、最終的には主流の取引所における口座、すなわちmule名義と思われるアカウントへ送金します。主な送金先には、他のロンダリングサービスや法定通貨への交換を行う一般的な取引所、さらにはHuione Groupエコシステムに関連するプラットフォームなどが含まれます。

2. Money mule motorcade:ロンダリングの中間レイヤー

「working factors」が取引所への入口を担う一方で、cash mule、あるいは「motorcade(车队)」は、マネーロンダリングの中核となるlayeringフェーズを組織的に遂行します。こうした専門オペレーターは、複数の口座やウォレットから成るネットワークを形成し、多段階のトランザクションを通じて資金の出所を巧妙に隠します。

Money muleオペレーションでは、法定通貨と暗号資産の相互交換に複数の方法が利用されます。対面でディーラーが顧客と会うオフラインサービス、ATMからの現金引き出しを暗号資産へ変換する手法、サードパーティ決済プラットフォームを使ったデジタルウォレット同士の送金、さらにクレジットカードやギフトカードと暗号資産を交換するカードスキームなどです。ベンダーは受け入れ可能な金融機関、暗号資産取引所、決済手段を公然と広告していますが、実際のカード加盟店や仲介業者との具体的な取り決めは、公開されたTelegramチャネルの外で非公開に行われます。

Telegramの投稿だけではmoney mule motorcadeの国籍を特定することはできませんが、投稿はほぼすべてが中国語(簡体字)で書かれており、中国本土の銀行口座や所在地を示唆する記述も多く見られます。これらのことから、こうしたマネーロンダリングベンダーが主に中国語話者の顧客層にサービスを提供している可能性が高いと考えられます。Royal United Service Institute(RUSI)による最近の調査でも、中国系組織犯罪の関与が拡大していることが指摘されています。中国当局による大規模な暗号資産禁止措置にもかかわらず、こうしたネットワークや正規の暗号資産利用は依然として活発です。中国当局は選択的な取締りとAMLの執行に注力しており、一部の暗号資産活動は黙認または事実上放置する一方で、資本規制や金融の安定を脅かす活動については積極的に取り締まっています。

典型的なmotorcadeリクルーターの募集広告。「ポンジスキーム」に言及し、UnionPay、AliPay、WeChat、APIなど、取引対象としているカードや事業者の種類を示しています。

国内での活動にとどまらず、これらのネットワークはグローバルな決済手段や外国通貨を通じて、越境送金に特化したサービスも積極的に提供しています。ベンダーは自らの業務範囲の広さを盛んにアピールしており、Telegramの投稿では、一部のベンダーがアフリカ各地にまたがる「fleet」(おそらく複数のmotorcadeやmoney muleの集合体)を統括できると主張していることから、CMLNの活動範囲が中国や東アジアをはるかに超えて世界的に拡大していることがうかがえます。Urben氏は「CMLO(Chinese Money Laundering Organization)は、暗号資産を、従来型の銀行や暗号資産以外の取引と比べてKYCコンプライアンスが緩く、その分リスクを低減しつつロンダリングを高速化できる手段として正しく認識しています」と指摘します。「さらに暗号資産であれば、大量の保有資産を国境を越えて物理的に移動させることもはるかに容易になります。ハードドライブに保存したコールドウォレットをポケットに入れて運ぶだけで、何十億ドル相当のBTCを持ち運ぶことができるからです。」

5つのアフリカ諸国での資金移動サービスを宣伝するベンダーのTelegram投稿。アジアをはるかに超えた越境送金ネットワークが形成されていることを示唆している(右側は機械翻訳)。

 

資金移動サービスを宣伝する広告には、緊急性、秘匿性、スピードの重要性が一貫して強調されるという共通点があります。ベンダーは、資金が凍結される前に迅速に送金する必要性を繰り返し訴える一方で、すでに金融機関や暗号資産取引所によって制限がかかった資金や口座に起因するトラブルへの対処については、最小限の簡単なガイダンスしか示していません。

Guarantee platformの中では、working level brokerやmoney muleが組織する資金移動が、掲載されているサービスの大部分を占めています。広告の文言や構成に顕著な共通点が見られることから、これらのオペレーターは、より大きな統括組織の内部で活動しているか、または互いに戦略的な協力関係を維持している可能性が高いと考えられます。これらの資金移動サービスが一体となって、地下銀行エコシステムにおけるマネーロンダリング基盤の中枢を成しているのです。

United Nations Office on Drugs and Crime(UNODC)は、この関係性を最も的確に表現しています。すなわち、motorcadeはrunning pointシンジケートの延長線上にあり、複数の銀行口座を経由させて不正資金をルーティングする高度なlayeringスキームを提供し、その対価として送金総額の一部を手数料として得ているというものです。東アジアおよび東南アジアにおけるカジノ、マネーロンダリング、国際組織犯罪に関するUNODCの2024年レポートでも、サードパーティおよびフォースパーティのペイメントサービスプロバイダーの利用が強調されています。これらのネットワークは高い連結性を示しており、複数レイヤーの決済サービスが、実際には同一グループによるフロント企業として機能し、ロンダリングを促進している可能性が示唆されます。

3. インフォーマルなOTC・P2Pサービス:規制回避の手段

インフォーマルなOTC(店頭取引)デスクは、マネーロンダリングにおけるもう一つの重要な経路です。正規のOTCとは異なり、これらのサービスは規制当局の監督や特定の法域との明確な紐付けなしに運営されており、中国のような厳格な市場で求められる資本規制を意図的に迂回しています。KYC(顧客確認)なしで資金移動を処理できることから、特に出所に疑いのある資産を移転したいユーザーにとって魅力的な選択肢となっています。

多くのOTCベンダーは「clear fund」や「White U」といった文言を前面に掲げて宣伝しています。投稿に明示される為替レートは、市場レートを上回ることが多く、規制回避の対価として上乗せされるプレミアムを反映しています。これらのサービスは国内送金だけでなく国際送金も扱っており、不正資金フローの地理的な広がりをさらに拡大させています。

しかし、オンチェーン分析の結果は、こうした「clear fund」の主張と矛盾します。表向きは正当とされるこれらのOTCサービスは、Huioneをはじめとする複数のGuarantee platformと広範なつながりを持っており、CMLN全体のエコシステムに深く組み込まれている実態が明らかになっています。「White U」をうたう同じベンダーが、確認済みのマネーロンダリングサービスと恒常的にやり取りしていることから、インフォーマルなOTCデスクが不正な暗号資産の重要な中継点として機能し得ることが分かります。

4. Black U service:汚れた資金を値引き販売

主にGuarantee platformの外側で活動する「Black U」サービスは、CMLNエコシステムの中でも特異なポジションを占めており、インフォーマルな「White U」OTCの裏返しの存在と言えます。これらのベンダーは、ハッキング、脆弱性の悪用、詐欺、ウォレット窃盗など、不正な手段で取得された暗号資産を専門的に扱っており、その事実を広告の中で公然と明示しています。ビジネスモデルは、不正に取得した暗号資産を割安なレートで販売することにあります。

購入者は、犯罪に由来することが分かっている資産を受け入れる代わりに、市場価格より1~2割安いレートで資金を取得します。これは、法的なリスクや資金差し押さえの可能性といった負担を購入者が引き受けることへの見返りです。

Black U serviceの運営構造からは、高度に組織化された連携が見て取れます。ベンダーごとにサービスは分かれているものの、フロントエンドのWebサイトは、ドメイン名やブランドロゴなど表面的な部分を除けばレイアウトがほぼ同一であり、Telegramチャネルでも同様のパターンが確認されます。こうしたインフラ面での共通性は、これらの事業が見かけ上は別々であっても、実際には単一の組織内で区画化されたユニットとして運営されているか、あるいは運営の一貫性を保つよう調整された一つのネットワークである可能性を示唆しています。

5. ギャンブルサービス:伝統的なロンダリングのデジタル版

多くの法域においてギャンブルサービス自体は必ずしも違法ではありませんが、多額の現金が出入りし、取引頻度が高く、資金を別の形に変換する仕組みが組み込まれていることから、従来型および暗号資産ベースのロンダリング手法として広く利用されてきました。カジノやオンラインベッティングプラットフォームは、不正収益をベットし、分散させ、最終的に正規の金融システムに統合するための有効な手段を提供しており、とりわけ「急に富を得た理由」としてもっともらしい説明が付けやすい点が悪用されています。

これらのギャンブルサービスの多くは暗号資産による入金を受け付けており、KYC情報を求めません。サードパーティのペイメントプロバイダーは法定通貨と暗号資産の両方によるアカウントチャージを仲介しており、一部の決済業者は複数のギャンブルサイトへのチャージを一括で扱うことで、プラットフォーム間をまたいだ資金移動を可能にしています。さらに、Telegram上の一部ベンダーは、結果を予測または操作した「インサイダー情報」を提供しており、顧客の「当選番号」が選ばれなかった場合の補償を保証する広告も見られます。これは一部のギャンブルサービスが、単なるロンダリングの通路にとどまらず、結果の固定化を積極的に支援する役割を担っていることを示唆します。

宝くじ型ベッティングにおいて結果を操作するギャンブルサービスベンダーのサービス条件を示す投稿。当選番号が選ばれなかった場合の補償内容も含まれている。

 

以下のReactorグラフは、ギャンブルサービスがインサイダーによってどのように利用されるかを示しています。インサイダーは、結果が操作されたベットの利益をギャンブルプラットフォームから引き出し、その後Black U serviceやmoney muleなど追加のマネーロンダリングサービスに資金を送ることで、ロンダリングプロセスを継続します。オンチェーン上の動きからは、ギャンブルインサイダーのオペレーターが資金の一部を再びギャンブルプラットフォームへ戻していることも確認されています。

6. Money motion service:mixing/swappingのサービス化

トランザクションの起点を隠すためのmixingは、高度なサイバー窃盗において確立された手法です。Tornado CashBlender.ioといったプロフェッショナルなmixingサービスは、盗難資金のロンダリングに関与したとして米国政府から制裁を受け、国際的に悪名を馳せました(その後、Tornado CashはOFACの制裁リストから除外されています)。

東南アジアの地下銀行エコシステムにおいては、複数のGuarantee serviceプラットフォームにまたがり、暗号資産をさまざまなアセットに変換する「swapping-as-a-service」を提供する専門ベンダーが存在します。これらのswapサービスは東南アジアや中国、さらには北朝鮮などで活動する不正アクターの間で定着しており、資金をオンチェーンにとどめたままロンダリングするための手段として利用されています。

オンチェーンデータが示すCMLN資金フローと伝統的ロンダリング段階の共通点

CMLNサービスを経由するトランザクションフローを分析すると、伝統的なマネーロンダリング手法が産業規模で展開されている実態が浮かび上がります。次のチャートでは、各種サービスがどのように不正資金を分割・集約しているかを追跡しており、ロンダリングサイクルの中で資金が移動するにつれて、「structuring(smurfing)」と「aggregation」の明確なパターンが現れていることが分かります。

このような定量的な枠組みを用いることで、各サービスの役割や位置付けを、実際のオペレーションの仕組みが完全には判明していない段階であっても、マネーロンダリング全体のエコシステムの中で把握できる可能性があります。

Black U serviceは、きわめて攻撃的なstructuring行動の代表例です。流入から流出にかけて、少額(100ドル未満)のトランザクションは467%、中額(100~1000ドル)のトランザクションは180%増加しています。また、1万ドル超の大口送金についても、送金元ウォレットより送金先ウォレットの方が51%多くなっており、資金が一貫してより多くのウォレットへと分散されていることが分かります。Money muleやmoney motion serviceも、度合いはやや弱いものの同様の振る舞いを示します。これらのケースでは、取引単位を細かくし、取引相手の数を増やす方向へのシフトが典型的なsmurfing(検知閾値を回避するために犯罪収益を小口に分割する手法)そのものとなっています。

一方で、ギャンブルインサイダー、working level dealer、OTC serviceは、このエコシステムにおける主なaggregatorとして機能します。これらのサービスでは、ほぼすべての金額帯において流入トランザクション数が流出トランザクション数を上回っており、複数の地点から資金をかき集め、オンチェーン上では少数のカウンターパーティウォレットへまとめて送金していることが示唆されます。特にOTC serviceの場合、このような資金の集約パターンは、ロンダリングの最終段階であるintegration(多数の小口入金を、正規金融システムへの再流入に適した大口資金へとまとめ上げるプロセス)における役割を反映しています。

CMLNは高額顧客を優先し、不正資金の多くは数分で移動

各種ロンダリングサービスを通じた資金移動のスピードにも、特徴的なパターンが見られます。以下のチャートから分かるように、どのロンダリング類型であっても、高額トランザクションが優先的に処理されています。ただし、自動化されたロンダリングメカニズムを構築しているサービスは、時間の経過とともに、金額の大小を問わず処理効率を高める傾向があります。一方、人手に依存した仕組みを用いるサービスは、高額トランザクションを優先する傾向こそ同じですが、少額トランザクションについては処理効率が劣るままです。

資金処理の効率という観点では、Black U serviceが最も高いパフォーマンスを示しており、2025年第4四半期には、非常に大きなトランザクションでも平均1.6分で決済されています。不正資金を素早く移動させなければならないという業務上の要請が、Black U serviceの技術インフラを形作る大きな要因になっていると考えられます。こうしたサービスの一部では、セルフサービス型のswap機能も提供されており、顧客は希望する交換額と送金先アドレスを入力するだけで、システムが自動的にswapを実行します。この自動化により、ロンダリングプロセスが高速化されるだけでなく、運用コストの削減や、人手による処理で残りがちなデジタルフットプリントの最小化にもつながっています。

同様に、ギャンブル事業者も統合型の決済ソリューションを用いて、日々膨大なトランザクションを処理しています。こうした自動化されたシステムにより、入金から決済までのプロセスが迅速化され、大規模な資金フローを効率よくさばくことが可能になっています。

対照的に、cash muleやrunning pointでは、決済スピードのパターンに大きなばらつきが見られます。これらのネットワークは依然として人手に大きく依存しており、リクルートされた個人が自分名義の銀行口座やデジタルウォレットを使って、リアルタイムでトランザクションを処理する必要があります。この人的要素がロンダリングプロセスに変動要因を持ち込み、自動化サービスのように一定の処理パターンを示すのではなく、タイミングにばらつきが生じる結果となっています。

Money movementベンダーによる投稿のスクリーンショット。fleetオペレーターの条件として、「当日依頼」や「直前の依頼」は、利用可能なmoney muleや人員の数に左右されると記載されている点に注目。また、長距離の移動については3万元(約4,220米ドル)の追加料金が必要と明記されている。

 

官民連携で挑む暗号資産連動型マネーロンダリングネットワーク

中国語話者向けGuarantee platformやmoney motion service、それに関連する金融犯罪ネットワークは、法執行による取締りにもかかわらず適応を続ける、複雑かつレジリエントなエコシステムであることを示しています。ほかの不正なオンチェーン活動と同様に、Guarantee serviceへの措置は短期的な混乱をもたらすものの、根幹となるネットワークは存続し、締め付けを受けると容易に代替チャネルへと移行します。

こうしたオペレーションの規模と一体性は、金融犯罪コンプライアンス、インテリジェンス、法執行の各取り組みにとって大きな課題となっています。実効性のある撹乱を行うには、広告媒体への対応に加えて、不正なオペレーターやベンダーそのものを標的にする必要があります。これらのネットワークは、詐欺やスキャン、その他の犯罪による不正収益を、大量かつ組織的に「一見正当な資産」へと転換するための、不可欠なインフラを構成しているからです。

さらに重要なのは、CMLNが暗号資産を利用したマネーロンダリングの中で過大な役割を担っているとはいえ、技術的な適応を遂げたロンダリングネットワークはCMLNだけではないという点です。2024年12月には、英国National Crime Agency(NCA)が、ロシアおよび各国のエリート層、サイバー犯罪者、麻薬組織など幅広い不正アクターにサービスを提供していた数十億ドル規模のロシア語圏マネーロンダリングネットワークを摘発しました。Keatinge氏が指摘するように、「多くの国では、暗号資産の利用に関して、犯罪者と法執行機関の能力の間に大きなギャップがあります。各国ごとに異なる法律、国境がもたらす障壁、情報共有の不備、暗号資産のトレーシングや資産回収能力の不足が重なり、暗号資産は犯罪者にとって、低リスクかつ高リターンで犯罪収益を享受できる手段となっています。ブロックチェーン分析企業が一部で大きな支援を提供しているとはいえ、こうしたキャパシティビルディングは氷山の一角にすぎません。世界各国の法執行機関における暗号資産対応能力を底上げし、より優れた情報共有メカニズムを構築するための体系的かつグローバルな取り組みが、喫緊の課題となっています。」

暗号資産と一体化したマネーロンダリングネットワークに立ち向かうには、官民の連携と、個々のプラットフォームに対する事後的な取締りから、基盤となるネットワークそのものを能動的に撹乱する方向へのパラダイムシフトが不可欠です。Urben氏は「最も効果的な調査戦略は、CMLOのオペレーション手法に自らの調査ツールを合わせ込むことです。これらのマネーロンダリングネットワークを検知するには、オープンソースインテリジェンスとヒューミント(人的情報)に、ブロックチェーン分析を組み合わせる必要があります。これらのツールが連携し、互いのリード情報を補完し合うときに初めて、関係者と資金の動きを結び付け、ネットワーク全体の構造をマッピングできるようになるのです」と強調しています。

法執行機関が持つ法的権限と、民間セクターの技術力およびブロックチェーン分析の専門性を組み合わせることで、複数のプラットフォーム、法域、コミュニケーションチャネルにまたがって活動するこれらのサービスを、より効果的に特定・解体できるようになります。オンチェーンの透明性は、これらのオペレーションに対する前例のない可視性をもたらします。クロスプラットフォームでのインテリジェンス共有や、調整された法執行と組み合わせることで、こうしたツールは大規模マネーロンダリングサービスの運営コストとリスクを引き上げることを可能にします。今後の介入戦略では、CMLNを含む暗号資産連動型ロンダリングネットワークを実質的かつ持続的に撹乱するために、この協調的なアプローチを最優先で位置付ける必要があります。

[1] これはCMLNの活動に基づく下限値の推計であり、Chainalysisが識別したサービスのみを反映しており、Guarantee Service自体は含まれていません。
 

This web site accommodates hyperlinks to third-party websites that aren’t underneath the management of Chainalysis, Inc. or its associates (collectively “Chainalysis”). Access to such data doesn’t indicate affiliation with, endorsement of, approval of, or suggestion by Chainalysis of the location or its operators, and Chainalysis just isn’t accountable for the merchandise, providers, or different content material hosted therein. 

This materials is for informational functions solely, and isn’t supposed to supply authorized, tax, monetary, or funding recommendation. Recipients ought to seek the advice of their very own advisors earlier than making these kinds of choices. Chainalysis has no accountability or legal responsibility for any choice made or another acts or omissions in reference to Recipient’s use of this materials.

Chainalysis doesn’t assure or warrant the accuracy, completeness, timeliness, suitability or validity of the knowledge on this report and won’t be accountable for any declare attributable to errors, omissions, or different inaccuracies of any a part of such materials.

The put up 中国語系マネーロンダリングネットワークが暗号資産犯罪経済の主要な媒介役に、全体の20%を占める appeared first on Chainalysis.

Similar Posts

  • 2025年暗号資産規制の総括と今後の論点

    ※この記事は自動翻訳されています。正確な内容につきましては原文をご参照ください。 暗号資産に関する規制の動きを追っていると、2024年12月の状況が、すでにかなり前のことのように感じられます。たった12か月前と比べても、現在の世界全体の政策環境は大きく変化しました。変化のスピードは非常に速く、その勢いが弱まる兆しはほとんどありません。 そこで2026年に入る前に、2025年に起きた主な規制の変更点を振り返ります。グローバル全体の流れ、地域ごとの動き、そして2026年に特に注目されるトピックについて整理します。より詳しい背景や分析は、チェイナリシス Road to Crypto Regulation シリーズと2025 Geography of Cryptocurrency Reportをご覧ください。 世界の視点から見る、デジタル資産政策「5つの大きな流れ」 1. 規制導入の進捗と、運用段階での摩擦・課題 ここ数年、各国・地域で、デジタル資産を対象とする包括的な規制枠組みの整備が進んできました。進み具合に差はあったものの、全体としては大きな前進が見られました。ただし、その進展は国や地域により不均一でした。 2025年になり、「法律を作る段階」から「実際に運用・実装する段階」に移行すると、その実装プロセス自体が、立法(法律を作ること)と同じくらい、政治的にも実務的にも複雑であることが明らかになりました。 EU ではMiCA(Markets in Crypto‑Assets)は、2025年初めに全面適用となりました。これにより、これまでAML (マネー・ロンダリング対策)中心」の個別ルールに頼っていた体制から、世界で初めての包括的な暗号資産の共通ルールへと移行を図っています。ただし、この移行の進み方は、加盟各国で一様ではありません。 ESMA(欧州証券市場監督局)やEBA(欧州銀行監督機構)は、技術的な基準や監督体制をそろえるための取り組みを進めていますが、それでも各国ごとに、条文の解釈や実装方法に違いが残っています。特にステーブルコイン制度については、次のような論点が、実務上まだ整理の途中にあります。 複数の事業者が共同で発行・運用する「マルチ発行モデル」をどう扱うか e-money token(電子マネー型トークン)の位置づけをどう整理するか 既存のPayment Services Regulation(決済サービス規制)やMiFID金融商品市場指令)との整合性をどう取るか こうした「新しい暗号資産のルール」と「もともとある決済・投資サービスのルール」との関係整理が、実務上の大きな課題になっています。 同じような「実装段階での課題」は、他の地域でも見られます。例えばシンガポールでは、Financial Services and Markets Act に基づく Digital Token Service Provider 規制の迅速な展開により、事業者が法的影響の評価を急ぐ事態となりました。世界全体では、トラベルルールの実装も、事業者側・規制当局側の両方にとって課題となっています。具体的には、次のような点が問題になりやすくなっています。 「サンライズ問題」(国ごとに施行時期がずれることで生じるすき間)の発生 アンホステッドウォレット(取引所などを介さない個人ウォレット)の扱いをどうするか 規制当局側・事業者側ともに、技術やリスクに関する専門知識をどこまで確保できるか 各社・各国が使うツール同士の相互運用性(互換性)をどう確保するか このように、「ルール作り」が終わっても、実際の運用段階で進み具合に差が出たり、初期段階ならではのトラブルや課題が発生したりするのは、むしろ自然なことと言えます。こうした規制が成熟していくのに伴い、2026年も引き続き、摩擦の解消や、コンプライアンス(法令順守)・監督の能力を高める取り組みが続くと見込まれます。 2. ステーブルコインの台頭と、ルール再編 米国では、ステーブルコインに関する包括的な法律であるGENIUS 法が成立しました。 これにより、米国内のステーブルコイン発行者に対する連邦レベルでの共通枠組みが整っただけでなく、他国の政策にも影響を与える国際的なベンチマーク(標準的な参考モデル)ができました。その結果、世界各国でステーブルコイン政策を進めようとする動きが加速しました。 現時点で、ステーブルコインに関する法律がすでに施行されているのは、日本、EU、香港など一部の国・地域に限られています。しかし、韓国や英国などでも、発行体をどう規制するかについての制度設計が進んでいます。議論の対象は、単に「価格を安定させる方法」や「準備資産が十分かどうか」「監査・アテステーション(第三者確認)」といった技術的な点にとどまりません。金融の安定性、資本移動管理、AML/CFTへの影響など、金融システム全体への波及も含めて検討されています。 規制が整備されるにつれ、世界全体でのステーブルコインの使われ方も、徐々に組み替えられつつあります。例えばEUでは、暗号資産サービス提供者(CASP:Crypto‑Asset Service Provider)が、MiCAに適合しないステーブルコインを提供できない、もしくは大きく制限されるケースが増えました。その結果、MiCAに適合したステーブルコインに資金が戻る動きが見られます。…

  • Chainalysis Rapid × DEA・NPCC現場事例でみる暗号資産捜査:AI迅速リスク判定の最新運用

    ※この記事は自動翻訳されています。正確な内容につきましては原文をご参照ください。 未対応の捜査案件を、迅速に現場対応・初動調査へ移す新しい運用体制:Chainalysis RapidによるDEAとNPCCの暗号資産の重要度判断体制拡大 問題は明確です。暗号資産関連の手がかりは多いのに、専門家が不足しています。 捜査案件が積み重なり、証拠が古くなり、捜査官は十分なリソースがないために躊躇してしまいます。 先日開催されたウェビナーでは、米国麻薬取締局(DEA)と英国国家警察長官協議会(NPCC)が、こうした課題をChainalysis Rapidでどのように解決しているかを説明しました。ボトルネックの解消、経験の浅い捜査官でも対応可能な体制の強化、重大・困難な事件への迅速な対応を実現しています。 現場での即時判断 Chad Martin(DEAタスクフォースオフィサー): 「現場で捜索令状の執行中に、暗号資産のアドレスが記載された書類の束を見つけることがよくあります。今では、現場でその場ですぐにスキャンして、重要な案件かどうかを瞬時に初動判断できます。」 また、Rapidによる過去案件の対応の変化についてもこう話します。 「過去の捜査報告を見直してRapidにアドレスを入力するだけで、即座に残高や直近のトランザクション、ダークネットマーケットや制裁対象との関連まで分かります。今まで詳しく調べる手段や余裕がなかった情報も、Rapidでその場ですぐに確認できるようになりました。」 ボトルネック解消:より多くの案件への迅速な対応 NPCCでは、課題は捜査体制の規模でした。高度なツールを使える捜査官が限られていたため、案件が滞留し、対応が遅れていました。NPCCの暗号資産捜査官Andrew Pesterは、こう変化を語ります。 「初期の問い合わせが減り、Rapidによって対応が簡単になりました。オープンソースのツールでは得られない、アトリビューション(関連付け)やタグ、リスクカテゴリ、犯罪とのリンクがRapidにはあります。ここでしか得られない情報です。」 サイバー犯罪以外にも:すべての機関の標準ツール Rapidは、サイバー犯罪や麻薬関連だけでなく、詐欺、金融犯罪、税務捜査にも導入が進んでいます。暗号資産関連の手がかりを迅速に案件選別し、高リスクの活動を特定できます。 暗号資産の影響がある場面なら、Rapidによって捜査チームは専門家を待つことなく行動に移せます。 NPCC暗号資産・ダークウェブチームのIan Osborne警部補はこう話します。 「Rapidの重要度判断機能は、必要な暗号資産捜査ツール群の一部です。仕事を進めるために必須です。」 暗号資産捜査の初動をサポート 新任の捜査官は、暗号資産の証拠を前にして、行動を躊躇しがちです。NPCCのAndrew Pesterはその理由をこう説明します。 「暗号資産が関連する捜査では、これまでの経験だけでは対応に自信が持てず、初動判断に時間がかかりがちです。しかしRapidは、操作が分かりやすく、初めての捜査官でもすぐに活用できる環境です。そこから自信が生まれます。」 DEAのChad Martinは、こう言い切ります。 「レストランでメニューのQRコードをスキャンする感覚で、現場でビットコインのアドレスのQRコードを読み取ると、必要な情報が即座に表示されます。」 検索を重ねるうちに自信がつき、暗号資産の重要度判断・初動判断が自然と身につきます。 総括:Rapidが選ばれる理由 現場対応:暗号資産アドレスの即時検索・重要度判断が可能 未対応の捜査案件削減:定型的な案件の選別で専門家の負担を軽減 誰でも使える:最小限のトレーニングで、分かりやすい結果表示 信頼できるインテリジェンス:ブロックエクスプローラーでは得られない関連情報やリスク分析 官庁横断で利用可能:サイバー犯罪、麻薬捜査、金融・税務当局など多様な機関で導入 暗号資産犯罪は止まりません。Rapidがあれば、捜査も止まりません。 Chainalysisの暗号資産捜査パッケージを導入されている官公庁の皆様には、Rapidのご利用枠が設定されている場合がございます。 Rapidの利用開始や詳細につきましては、Chainalysis担当者へお問い合わせください。 Rapidへのログインはこちら ご不明点・デモのご希望はこちらからご連絡ください。 ブロックチェーン捜査をはじめる方向けの資料として、暗号資産 現地調査のためのガイドもご参照ください。 Crypto Clues 101: Triage Essentials for Government Investigators Hear more stories…

  • 2025年、国家主導の制裁回避がオンチェーンで大規模に進行し、暗号資産犯罪が過去最高を記録

    ※この記事は自動翻訳されています。正確な内容につきましては原文をご参照ください。 2025年、暗号資産分野で国家主導の活動が顕著に増加し、不正なオンチェーン・エコシステム成熟の新たな段階を迎えました。ここ数年で暗号資産犯罪の状況はますますプロフェッショナル化しており、不正組織は現在、国際的な犯罪ネットワークが商品やサービスを調達し、不正に得た暗号資産を洗浄するための大規模なオンチェーンインフラを運営しています。こうした状況を背景に、国家も同じプロフェッショナルなサービス事業者を利用したり、制裁回避のために独自インフラを構築したりして、この領域へ参入しています。サイバー犯罪者や組織犯罪グループ向けに構築された不正な暗号資産サプライチェーンに国家が加わることで、行政機関やコンプライアンス・セキュリティチームは、消費者保護と国家安全保障の両面でこれまでになく重大なリスクに直面しています。 これらの現象やその他の動向はオンチェーン上でどのように表れているのでしょうか?データと全体的なトレンドを見ていきましょう。 当社のデータによると、不正な暗号資産アドレスが2025年に受け取った金額は少なくとも1,540億ドルに達しました。これは前年比で162percentの増加であり、主に制裁対象となった主体が受け取った金額の694percentという劇的な増加が要因です。仮に制裁対象の受領額が前年と同水準だった場合でも、2025年は暗号資産犯罪の記録的な年となるほど、ほぼ全ての不正カテゴリで活動が増加しました。この数字は、現時点で特定できている不正アドレスに基づいた下限値であることを必ずご留意ください。[1] これら不正取引量は、依然として暗号資産経済全体(主に正規取引)と比べて小規模です。全暗号資産取引量に占める不正取引の割合は2024年からわずかに増加しましたが、1percent未満にとどまっています。[2] また、暗号資産犯罪で利用されるアセットの種類にも継続的な変化が見られます。下図のチャートをご参照ください。 ここ数年、ステーブルコインが不正取引の大半を占めており、現在では不正取引ボリューム全体の84percentを占めています。これは、ステーブルコインが持つ実用的な利点(国境を越えた送金の容易さ、低いボラティリティ、広い用途)により、暗号資産エコシステム全体でも利用が拡大しているトレンドと一致しています。 以下では、2025年の暗号資産犯罪を特徴づけ、今後も注目すべき4つの主要トレンドを詳しく見ていきます。 国家主導型脅威による過去最高の取引量:北朝鮮による過去最大規模の窃盗、ロシアのA7A5トークンによる大規模制裁回避 2025年も盗難資金はエコシステムにとって大きな脅威であり、北朝鮮関連のハッカーだけで20億ドルを盗み出しました。特に2月のBybitへの攻撃は、暗号資産史上最大のデジタル強奪事件となり、約15億ドルが盗まれました。北朝鮮のハッカーは以前から重大な脅威でしたが、昨年は被害額・手口の高度化ともに過去最悪となりました。 さらに重要なのは、2025年には国家によるオンチェーン活動が前例のない規模に達したことです。ロシアは2024年に制裁回避を目的とした法整備を進め、2025年2月にはルーブル連動型トークンA7A5をローンチし、1年足らずで933億ドル以上の取引を記録しました。 一方、イランの代理ネットワークは過去数年にわたり、制裁指定されたウォレットを通じた20億ドル超のマネーロンダリング、不正な原油取引、武器・商品調達をオンチェーン上で継続。イラン系テロ組織であるレバノン・ヒズボラ、ハマス、フーシ派も、これまでにない規模で暗号資産を活用しています。 中国系マネーロンダリングネットワークの台頭 2025年は、中国系マネーロンダリングネットワーク(CMLN)が不正なオンチェーンエコシステムで支配的な存在となりました。これらの高度な組織は、Huione Guaranteeなど過去の仕組みを基盤に、ロンダリング・アズ・ア・サービスなど多様な専門サービスを展開し、詐欺・スキャムから北朝鮮ハッキング資金、制裁回避、テロ資金調達まで幅広く支援するフルサービス型犯罪企業へと発展しています。 フルスタック型不正インフラプロバイダーによるサイバー犯罪の拡大 国家による暗号資産利用が拡大する一方、従来型サイバー犯罪(ランサムウェア、児童性的虐待コンテンツ(CSAM)プラットフォーム、マルウェア、詐欺、違法マーケットプレイス)も依然として活発です。不正アクターや国家は、ドメインレジストラ、バレットプルーフホスティング、他の技術インフラを含むフルスタック型サービスを提供するインフラ事業者にますます依存しています。 こうしたインフラ事業者は、ニッチなホスティング再販業者から、テイクダウンや不正利用通報、制裁執行にも耐える統合型インフラプラットフォームへと進化しており、金銭目的の犯罪者や国家系アクターの活動拡大を今後も支える存在となるでしょう。 暗号資産と暴力犯罪の交錯が拡大 多くの人は、暗号資産犯罪を「仮想空間にとどまるもの」と捉えていますが、実際にはオンチェーン活動と暴力犯罪の結びつきが強まっています。人身売買組織が暗号資産を利用する事例が増加し、資産移転を強要する暴力的な物理的脅迫事件も、暗号資産価格高騰とタイミングを合わせて発生するなど、特に深刻です。 今後も法執行機関、規制当局、暗号資産事業者の連携が、こうした進化・融合する脅威への対応に不可欠です。全体として不正活動の割合は正規利用に比べて小さいものの、暗号資産エコシステムの健全性と安全確保のためには、これまでになく高い警戒が求められています。 The Chainalysis 2026 Crypto Crime Report Reserve your copy [1] 今後1年間で、特定できる不正アドレスが増えるにつれて、これらの合計値もさらに増加する見込みです。参考までに、昨年の暗号資産犯罪動向調査レポート発表時には2024年の不正取引額を409億ドルと報告していましたが、1年後の最新推計では572億ドルに大幅修正されました。多くはオンチェーンインフラやマネーロンダリングサービスを提供する様々な不正アクター組織の活動拡大によるものです。通常、当社の集計は、暗号資産を支払いやロンダリング手段として使った伝統的な犯罪(例:麻薬取引など)から得た収益を除外しています。こうした取引はオンチェーンデータ上では正規取引と区別がつきませんが、法執行機関がオフチェーン情報と組み合わせて調査することは可能です。確認が取れた場合は、不正取引としてカウントしています。 [2] 不正取引量のシェア算出方法:当社が追跡する全暗号資産の既知サービスへの全インフロー(内部移転を除く)を分母とし、不正な受領額を分子として計算しています。   This web site accommodates hyperlinks to third-party websites that aren’t underneath the management of Chainalysis, Inc. or its associates (collectively…

  • Chainalysis、暗号資産を利用した大規模なCSAMサイトを特定

    ※この記事は自動翻訳されています。正確な内容につきましては原文をご参照ください。 Chainalysisは、ダークウェブ上で運営されている最大規模の児童性的虐待コンテンツ(CSAM)ウェブサイトに関連する暗号資産決済インフラを特定しました。このサイトは、2022年7月以降、5,800を超えるアドレスを通じて総額53万ドル以上の暗号資産による支払いを受け取っており、2017年に摘発された「Welcome to Video」事件の規模を上回っています。 英国法執行機関からの情報提供を契機とした捜査開始 この捜査は、英国の法執行機関から提供された1件の情報を発端として始まりました。Chainalysisは、そのアドレスを手がかりに、オンチェーン追跡や独自のヒューリスティック、および調査ソフトウェアを活用することで、クラスタの範囲を拡大することに成功しました。捜査が進展する中で、5,800を超えるアドレスから構成される大規模な決済インフラが明らかとなり、違法活動の規模と継続的な運営の実態が特定されました。 CSAMサイトの特長 CSAMサイトでは、複数の有料会員プランを提供しています。 QRコードを活用し、暗号資産による決済を効率化しています。 多様な違法コンテンツが掲載されています。 現在もウェブサイトが稼働している可能性について このネットワークへの最初の支払いは2022年7月に開始されました。 その後の活動は少なくとも2025年6月まで継続しており、現時点でも当該ウェブサイトが利用可能である可能性があります。 この状況の深刻さを踏まえ、Chainalysisは世界中の法執行機関と積極的に情報を共有しています。 法執行機関およびコンプライアンスチームへの支援 法執行機関向け:当社は、捜査官による大量の情報の整理・分類を支援するいたします。Chainalysis ReactorおよびData Solutionsを活用し、サイトのユーザーおよび管理者双方の調査をサポートいたします。 コンプライアンスチーム向け:お客様におかれましては、本団体に関連するExposureが原因となるChainalysis KYTアラートの増加が想定されます。CSAMアラートのしきい値の見直しや、各種活動の解釈・対応方法等についてご不明な点がございましたら、どうぞ当社までご相談ください。 Ongoing monitoring Chainalysisは、引き続きこのCSAM関連の違法活動基盤に関連する暗号資産の資金移動を監視し、お客様およびパートナーの皆さまに最新情報を提供してまいります。また、オンラインにおける児童搾取の阻止および責任者の法的追及を支援する活動も、これまでと変わらず推進してまいります。 本件に関するサポートが必要な法執行機関やコンプライアンスチームの皆さまは、既存のChainalysisカスタマーサポート担当者までご連絡いただくか、当社のサポートチャネルよりお問い合わせください。   This website contains links to third-party sites that are not under the control of Chainalysis, Inc. or its affiliates (collectively “Chainalysis”). Access to such information does not imply association with,…

  • 15分で暗号資産3,500万ドル相当が流出:取引所ハッキングの進化と予防策

    ※この記事は自動翻訳されています。正確な内容につきましては原文をご参照ください。 年初、韓国の大手暗号資産取引所のホットウォレットの一つで異常な出金活動が検知されました。約15分間に数百件のトランザクションが実行され、約₩44.5B KRW(3,300万〜3,500万ドル相当)が抜き取られ、同取引所は全ての出金を停止しました。盗まれたアセットには、USDC、BONK、SOL、ORCA、RAY、PYTH、JUPなどの主要トークンが含まれていました。一方で、同取引所は盗難資金の半分超(₩23B KRW相当のLAYERトークン)を凍結することに成功しましたが、残余は既に回復不能でした。出金のパターンとタイミングを分析すると、本件はスマートコントラクトの不具合や利用者レベルの誤操作ではなく、ホットウォレットの署名フローが侵害されたことに起因すると示唆されます。 本記事では、最近発生した取引所ハッキングの動向を解説し、本件の手口を深掘りするとともに、HexagateのWallet Compromise Detection Kitと GateSigner がどのように早期検知し、被害額の最小化に寄与し得たかを示します。 CEXとカストディアンに対する侵害は増加傾向 今回の大手取引所での事案は明確な業界トレンドを反映しています。すなわち、中央集権型取引所(CEX)とカストディアンに対する侵害が増えています。背景には、複雑なクラウド環境で高速かつマルチチェーンの出金システムを運用する難度の上昇があります。取引所やカストディアンは市場でもっとも複雑なオンチェーンの資金フローを担うようになった一方で、堅牢なオンチェーンセキュリティの必要性を過小評価し、後に不十分と判明する対策に依存してしまうケースが少なくありません。 私たちはほぼ10年にわたり顧客環境をトラッキングし、Lazarusのような脅威グループの動向を追ってきましたが、明らかなシフトがあります。攻撃者は、より高い利得と大きく複雑な運用スタックを狙って、カストディアンやCEXを標的にする傾向を強めています。直近のBybit、BTCTurk、SwissBorg、Phemex、そして今回の韓国の取引所に対する攻撃はいずれも同じパターンに当てはまります。すなわち、単一点の侵害で、数百万ドル規模の損失が発生するというものです。 各事案の根本原因は異なります。アカウント乗っ取りにつながるソーシャルエンジニアリング、テックスタック内のサイバーセキュリティ上の不具合、マルウェア、内部不正など多岐にわたります。高度な攻撃者は唯一の弱点を突きます。現実的な前提は「完全防御」ではなく「いずれ何かが破られる」ということです。そして破られたとき、全ては検知と対応の速さにかかっています。強力なリアルタイムの検知と対応はリスクをゼロにはしませんが、運用上の侵害が壊滅的損失に発展することを防ぎます。 何が起きていたのか 本件発生前、事件に関与した取引所連結のSolanaウォレットのうちの一つ(数百あるうちの一つ)は数週間にわたり正常に振る舞っていました。残高は増減を繰り返していたものの、ゼロになったことは一度もありません。しかし攻撃発生時、そのウォレットは数分で完全に空にされました。これは正当な運用では極めて稀で、侵害を強く示唆するパターンです。特に以下のシグナルが際立っていました。 残高ゼロ化のパターン:関与した全ウォレットに共通して、極めて短時間で残高がゼロに崩落するシグネチャが見られました。通常の取引所運用では起こり得ない挙動です。 高額出金のスパイク:攻撃の7日前までの期間、同取引所のSolanaウォレットから約$100,000規模の出金は1件しかありませんでしたが、攻撃時には同規模の出金がおよそ15分で約80件発生しました。 多数アセットでの高頻度実行:攻撃者は数十種類のトークンを、数百件のトランザクションで一気に移動しました。このバースト型の挙動は、平常時のベースラインから大きく逸脱します。 これらはまさに、Chainalysis Hexagateのような高度な自動行動分析システムがリアルタイムで検知するために設計されているシグナルです。最終的に、同取引所は出金停止という適切な判断を下し、利用者とプラットフォームを保護しました。この種のインシデントは、完全自動の検知・対応機構の有効性を浮き彫りにします。適切なリアルタイムのパイプラインが整備されていれば、異常は初期のわずかなトランザクション段階でフラグ化され、重大な移動が発生する前に抑止できます。 盗難直後の動き この段階で、攻撃実行者は自動マーケットメイカー(AMM)を用いて盗難アセットを交換し、発行体による凍結が困難なトークンへと転換することに注力していたと考えられます。これは大規模なホットウォレット侵害後の初期行動として典型的です。以下のChainalysis 調査ツール Reactor のグラフでは、現時点での動きの大半が拡散ではなく、資金の集約とアセット種別の入れ替えであることが分かります。 Reactorのグラフにおける初期移動の概観 Chainalysis Hexagateはどのようにウォレットからの流出を検知・阻止するか 1. Wallet Compromise Detection Kit ホットウォレット侵害の最も早期の兆候を検知するリアルタイム監視群で、Chainalysisのインテリジェンスを付加しています。主な内容は以下のとおりです。 残高流出パターン検知:ウォレット残高が突如ゼロ方向へ落ち込む挙動を検知します。 バースト検知:短時間に高額出金が急増する事象にフラグを立てます。 未知の送付先検知:内部の信頼できるエコシステム外のアドレスに資金が移動した場合にアラートを出します。 機械学習による侵害検知:過去のCEX侵害事例と広範なエコシステム挙動を学習したモデルにより検知します。 これらのシグナルは、悪意あるトランザクションの最初の数件、場合によってはそれ以前の微妙な行動変化の段階で発火します。こうした早期検知を用いることで、CEXは出金停止、コールドストレージへの退避、フローの隔離といった防御措置を自動化でき、より迅速かつ一貫性をもって、運用ミスを減らしながら対応できます。 ホットウォレット侵害の最速兆候を監視するWallet Compromise Detection Kitのリアルタイムモニター 2. GateSigner (事前署名プロテクション) GateSignerは署名フローに接続され、各トランザクションを事前にシミュレーションしてリスクの高い挙動を検査し、承認前の重要な審査機能を提供します。 まず、出金をシミュレーションします。 結果を侵害検知モニター群に照合します。 異常が認められれば、そのトランザクションはチェーンに流れる前にブロックまたはエスカレーションされます。これにより、攻撃者が通そうとしている危険なトランザクションに、インフラが誤って署名してしまう事態を防ぎます。 GateSignerによるトランザクションシミュレーション後の結果 いくつかの考察 ホットウォレットの侵害は、今日、カストディアンや取引所が直面する最も高額で頻度の高いリスクの一つになりつつあります。最も備えが行き届いている組織は、早期検知と署名パイプラインの強固な統制に投資しています。HexagateのWallet Compromise Detection…

  • 北朝鮮IT労働者・暗号資産の資金洗浄と兵器開発資金供与:OFACが新たに制裁指定

    ※この記事は自動翻訳されています。正確な内容につきましては原文をご参照ください。 2025年8月27日、米国財務省外国資産管理局(OFAC)は、北朝鮮(DPRK)に関連する不正なIT労働者ネットワークに対する制裁を発表しました。Vitaliy Sergeyevich Andreyev(ロシア国籍)は、Chinyong Info Expertise Cooperation Firm(Chinyong、別名Jinyong IT Cooperation Firm)への送金を仲介しており、そのための暗号資産アドレスも今回の制裁対象に含まれました。Chinyongは2023年5月、OFACおよび韓国外交部(MOFA)によって制裁を受けています。 今回の制裁には、Kim Ung Solar、Shenyang Geumpungri Community Expertise Co., Ltd.、Korea Sinjin Buying and selling Corporationも含まれています。これらの関係者は、北朝鮮IT労働者が得た収益を北朝鮮の大量破壊兵器および弾道ミサイル計画の資金に流用する手口に関与したとされています。 北朝鮮IT労働者ネットワーク:大量破壊兵器の資金源 今回の制裁は、これまでOFACが行ってきた北朝鮮IT労働者ネットワークへの対策を継承するものです。2023年5月、OFACはChinyong Info Expertise Cooperation Companyおよび同社の従業員であるSang Man Kimを制裁対象として指定し、その際に暗号資産アドレスも公表しています。 このネットワークでは、海外に派遣した北朝鮮のIT労働者が、偽名を用いて通常の企業に潜入し、機密情報の窃取やランサムウェア(身代金要求型ウイルス)による攻撃を行っています。そして、給与は暗号資産で受け取る仕組みとなっています。最終的に、そこで得られた資金は北朝鮮に送金され、大量破壊兵器開発のための資金として活用されています。 調査ツール Reactorを用いた分析では、ChinyongとKimが主流サービスや分散型金融(DeFi)、ミキサーなどを組み合わせて資金洗浄を行っていたことが明らかになっています。また、Chinyongや北朝鮮IT労働者のウォレットから、Kimが運用するサービスの入金アドレスへ直接資金が移動していたことも確認されています。 今回の制裁では、Chinyongへの送金を仲介したとして、Andreyevのbitcoinアドレスが対象に含まれています。Andreyevは、ロシア駐在の北朝鮮経済・通商領事官 Kim Ung Sunと協力し、暗号資産を現金化することで、合計60万ドル超の資金移動を実施しました。 Reactorグラフで図示すると、Andreyevのアドレスは、一般的な取引所(中央集権型取引所:CEX)の入金アドレスであり、北朝鮮IT労働者による資金洗浄に繰り返し利用されてきました。このアドレスを活用した複数回の資金洗浄活動は取引所、ブリッジ(bridge)、分散型金融(DeFi)プロトコルなどの利用履歴から裏付けられており、OFACの資料によればAndreyevのアドレスには60万ドル以上の入金が確認されています。 国家主導の暗号資産不正への戦略的対抗策 AndreyevやKim Ung Solar、および関連するフロント企業への制裁により、OFACは北朝鮮の不正な収益源の遮断を目指しています。今回の制裁措置は、海外に拡大している北朝鮮IT労働者ネットワークの実態や、米国企業を標的にした詐欺行為、兵器プログラムへの資金供与の状況をさらに明確にしています。 今回の制裁指定は、最近実施された北朝鮮IT労働者ネットワークを対象としたその他の措置と併せて、暗号資産を活用し体制を支援するインフラや資金仲介者が、今後も規制当局による主要な取り締まり対象であり続けることを示しています。 This web site incorporates hyperlinks to third-party websites that aren’t…