KYC情報漏洩が暗号資産保有者を脅かす：ビットコインを匿名に保つ方法

2025年6月30日、フランスの捜査当局はパリ近郊で働く32歳の税務職員を拘束した。検察によると、彼女は政府の税務ソフトで人々の自宅住所を調べ、その情報を犯罪者に渡していたとされる。照会されたプロフィールには、多額の暗号資産（仮想通貨）を保有しているとみられる人物も含まれていたと報じられている。本人は情報の使い道を知らなかったと容疑を否定している。事件は現在も捜査中だ。

それから1年。フランスは「レンチ攻撃」の世界的な多発地帯となった。レンチ攻撃とは、仮想通貨保有者にコインを引き渡させるための誘拐、住居侵入、暴行を指す。この教訓は一国にとどまらない。あなたの名前とビットコインを結びつけるデータベースが漏洩すれば、危険はもはやネット上だけの話ではなくなる。

税務ファイルが「標的リスト」に変わった

この税務職員は、フランスのメディアでGhalia C.と報じられている。Gizmodoの報道によると、彼女は暴力行為の共犯と犯罪結社への参加の罪に問われている。パリの控訴院は2026年1月、彼女の釈放を認めなかった。ただし、この事件はより大きな流れの一端にすぎない。暴力はすでに業界の著名人にまで及んでいた。2025年1月には、Ledgerの共同創業者David Ballandがフランス中部の自宅から連れ去られた。DL Newsの報道によれば、警察は翌日に彼を救出した。

2026年1月には、フランスの仮想通貨税務プラットフォームWaltioが恐喝未遂を公表した。攻撃者は約50,000件のアカウントに関連するデータを持ち去っていた。DL Newsの報道によると、盗まれたファイルには2024年分の税務レポートが含まれていた。メールアドレス、利益、損失、年末時点の資産残高まで記載されていたという。フランス当局は、利用者に対して物理的な襲撃の可能性を警告した。

さらに2026年8月、フランスの税務当局は、ハッカーが盗んだ職員の認証情報を使い、約678,000人の納税者の記録にアクセスしたことを認めた。報じられたデータには氏名、住所、基準所得が含まれる。Unchainedの報道によれば、そのうち約27,000人は年収€100,000以上を申告していた。

その後の数字は衝撃的だ。

• 41件の誘拐：2026年の最初の3か月半に、フランスで仮想通貨保有者を狙った誘拐の件数。国家組織犯罪検察官が引用した数字による。
• 46件中30件：2026年上半期に世界で記録された仮想通貨絡みの暴力的襲撃のうち、フランスで起きた件数。Decryptが報じたChainalysisのデータによる。
• 3,000万ドル超：これらの襲撃で6か月間に奪われた金額。

Chainalysisによると、税務記録の流出は、犯罪者が狙える人の範囲を広げた可能性が高い。被害者は漏洩データ、SNS、内部からの情報提供によって特定されることが多いとも指摘している。つまり、攻撃者はブロックチェーンを破る必要などなかった。必要だったのは、残高の横に並んだ名前だけだ。

フランスだけではない：仮想通貨保有者をさらした情報漏洩

フランスは最も顕著な例だ。しかし同じことは、銀行、取引所、ウォレットメーカー、サービス事業者でも繰り返されている。下の表は、記録が十分に残っている主な事例をまとめたものだ。

Ledger：玄関先への脅迫の始まりとなった漏洩

2020年、Ledgerのマーケティング用データベースが侵害され、ハードウェアウォレット購入者の連絡先が流出した。Cointelegraphがまとめたところによると、ハッキングフォーラムに全ファイルが出回った時点で、そこには272,000件の自宅住所が含まれていた。顧客のもとには、まもなくフィッシングメールが届き始めた。ビットコインでの支払いを要求する脅迫状を受け取った人もいる。コインを守るためにデバイスを買ったことで、購入者は「保有者の可能性が高い人」のリストに載ってしまった。

Revolut：だまされた従業員1人、顧客5万人

2022年9月、攻撃者は従業員を巧みに操り、Revolutのシステムに侵入した。顧客50,150人の個人情報が流出した。Which?の報道によると、銀行を装ったフィッシングメッセージがすぐに出回った。資金が奪われることはなかった。それでも、仮想通貨に積極的な銀行の顧客の氏名と住所が、犯罪者の手に渡ったことに変わりはない。

Coinbase：内部の人間がデータを売るとき

2025年5月、Coinbaseは、犯罪者が海外のサポート担当者を買収し、顧客記録をコピーさせていたと公表した。The Registerの報道によると、盗まれたデータは69,461人分で、政府発行の身分証の画像も含まれていた。攻撃者はその後、2,000万ドルを要求した。Coinbaseは支払いを拒否し、この件による損失は最大4億ドルにのぼると見積もった。データは、職員になりすました標的型詐欺に使われたと報じられている。

Kroll：破産債権の請求が「手がかり」に変わる

2023年8月、Krollの従業員1人がSIMスワップの被害に遭った。これにより、破綻したFTX、BlockFi、Genesisに資金の返還を求める人々のデータが流出した。Help Net Securityの報道によると、一部の請求者については氏名、住所、口座残高までが漏れていた。すでにお金を失った人たちだ。その残された請求額まで、さらされることになった。

KYC情報の漏洩がパスワード漏洩より深刻な理由

データ漏洩はどれも有害だ。しかし本人確認（KYC：Know Your Customer）のデータは別格である。理由は3つある。

期限切れにならない。 漏れたパスワードは1分で変更できる。だがパスポート番号、顔のスキャン、自宅住所は変えられない。KYC記録は一度漏れると、何年も犯罪者に使われ続ける。

身元とお金を結びつける。 取引所の記録は、あなたが誰かを示すだけではない。何を保有し、どこへ、いつ出金したかまで示す。強盗が標的を選ぶのに必要なのは、まさにその組み合わせだ。

ブロックチェーンはすべてを記憶する。 漏れた記録にあなたのウォレットアドレスが1つでも含まれていれば、誰でもそのウォレットの履歴を先へたどれる。あらゆる支払い、送金、そこから資金を受けた新しいアドレスが、あなたのプロフィールの一部になる。たった1件の漏洩で、何年分もの活動が明らかになりかねない。

欧州の金融犯罪規則のもとでは、規制対象の企業は通常、口座解約後も少なくとも5年間は顧客記録を保管する。つまり、口座を閉じてもデータベースからあなたが消えるわけではない。

スプレッドシートから玄関先へ：漏洩が襲撃になるまで

捜査当局は、繰り返し現れる一連の流れを説明している。まず、漏洩や内部犯行によって、氏名、住所、口座データのリストが生まれる。次に、そのリストを買った者が、残高や所得をもとに仮想通貨を持っていそうな人を絞り込む。続いて標的を確認する。公開のブロックエクスプローラーで、判明しているウォレットを追跡することもある。最後に、雇われた実行役が玄関先に現れる。

Chainalysisは、こうした犯行グループを「暴力の現場では素人だが、その前後ではプロ」と要約した。下調べ、データの購入、奪ったコインの換金は組織的に行われる。粗雑なのは押し入る瞬間だけだ。

ビットコイン開発者のJameson Loppは、10年以上前までさかのぼる仮想通貨保有者への物理的襲撃の公開記録を管理している。そこからは着実な増加が読み取れ、2025年は過去最多を記録した。多くの事例に共通する点は単純だ。攻撃者は、被害者が誰で、おおよそ何を持っているかを知っていた。

本当の対策：漏れたデータを「行き止まり」にする

税務署、銀行、取引所の情報流出を個人が止めることはできない。だが、漏れたデータから何がわかるかは、誰でもコントロールできる。目標は単純だ。漏れた記録の先にあるのが、空のウォレット、閉じたウォレット、あるいは自分の資産と無関係なウォレットであればいい。

そのためには、2つの世界の間にはっきりとした隔たりを保つ必要がある。

• 身元がわかる世界： 取引所のアカウント、銀行カード、そしてKYC済みの取引所から一度でも出金を受け取ったウォレット。これらはすべて、いつか漏れると考えておくべきだ。
• プライベートな世界： 実際に資産を保管するウォレットや、日々の支払いに使うウォレット。どれも、身元がわかる世界とオンチェーンでつながっていてはならない。

その隔たりをつくるのがビットコインミキサーだ。コインは取引所に紐づいたアドレスから、使い捨てのミキシング用アドレスへ送られる。数時間後、自分で決めたスケジュールに従って、新しいコインが新しいウォレットに届く。古いウォレットとの目に見えるつながりはない。のちに取引所のデータベースが漏洩しても、足跡はミキサーで途切れる。資産を保管するウォレットがそこに現れることはない。

漏洩した記録から何がわかるか：隔たりの有無による違い

上の2行は、漏洩後にはどうにもならない。だが下の3行は変えられる。そしてこの3行こそ、あなたが狙う価値のある相手かどうかを犯罪者に教えてしまう情報だ。

自分のデータが漏洩していたら

企業から自分のデータが流出したと知らされたら、落ち着いて、しかし素早く行動しよう。

1. あらゆる連絡を疑う。 漏洩のあとにはフィッシングが続く。本物の企業が、シードフレーズや秘密鍵、リモート操作を求めることはない。
2. 知られているアドレスから資金を移す。 漏洩したアカウントに紐づくウォレットは、公開されたものとみなすべきだ。その残高をミキサー経由で、まったく新しいウォレットへ送ろう。
3. 流出したウォレットを使い回さない。 そこで新たな支払いを受け取らない。そこから新しいウォレットへ直接資金を送らない。
4. 公開されている痕跡を減らす。 保有をほのめかす投稿は削除する。何を持っているかがわかる仮想通貨グッズやウォレットの箱は避ける。
5. 別の配送先住所を使う。 ハードウェアウォレットなど仮想通貨関連の品は、私書箱サービスや勤務先の住所で受け取る。
6. 保有資産を分ける。 すぐに手が届くウォレットには少額だけを置く。そうすれば、脅されたときに要求される額を抑えられる。

ウォレット側の対策をさらに詳しく知りたい場合は、ビットコインのプライバシーガイドを読んでほしい。イーサリアムの利用者には、さらに別の紐づけリスクがある。詳しくはイーサリアムのプライバシーガイドで解説している。

よくある質問

KYC情報漏洩とは何ですか？

金融企業が顧客の本人確認のために集めた身元情報が、外部に流出することです。氏名、住所、身分証明書、自撮り写真、口座残高などが含まれることがよくあります。漏洩は、ハッキング、だまされた従業員、買収された内部関係者、管理の甘い外部委託先などを通じて起こります。

顧客データを漏洩した仮想通貨企業は？

記録が十分に残っている事例として、2020年のLedger、2023年のKrollの破産債権データ、2025年のCoinbase、2026年のWaltioがあります。Revolutなどの銀行も情報流出の被害を受けています。フランスの税務当局のような政府のデータベースも侵害されています。

レンチ攻撃とは何ですか？

レンチ攻撃とは、相手に仮想通貨を引き渡させるための物理的な襲撃です。どれほど強力な暗号も、単純な工具1本で破れてしまうという発想からこの名が付きました。最も多いのは誘拐と住居侵入です。

取引所にKYCデータの削除を求めることはできますか？

通常、すぐには削除されません。規制対象の企業は顧客記録を数年間、多くの場合は口座解約後も少なくとも5年間保管しなければなりません。現実的な対策は、そのデータが現在のウォレットを指さないようにすることです。

漏洩後、ミキサーはどう役立ちますか？

ミキサーは、取引所に紐づいたアドレスと新しいウォレットとの間のオンチェーン上のつながりを断ち切ります。漏洩した記録には、名前と以前の出金先アドレスが残っているかもしれません。それでも、コインの現在の所在にはたどり着けなくなります。

ハードウェアウォレットだけで安全ですか？

ハードウェアウォレットは、秘密鍵をマルウェアから守ります。しかし残高と身元の見え方は、以前とまったく変わりません。Ledgerの事例が示したように、購入しただけで住所がリストに載ることさえあります。

出典

• French tax agent allegedly sold personal data of crypto users to criminals、Gizmodo
• French tax agency breach exposes about 678,000 taxpayers、Unchained
• Hackers extort French crypto firm Waltio、DL News
• Crypto wrench attacks: $30M stolen in 2026、Decrypt
• Ledger data leak exposed 270K crypto wallet buyers、Cointelegraph
• Revolut data hack: what you need to know、Which?
• Coinbase confirms insiders handed over data of 70K users、The Register
• Kroll SIM-swap attack: FTX, BlockFi and Genesis clients' info exposed、Help Net Security
• Ledger co-founder David Balland and wife kidnapped in France、DL News
• Physical Bitcoin attacks log、Jameson Lopp
• Know your customer、Wikipedia