規制の盾が、実は穴だらけの壁だった--Cryptomus、Sumsub、Kraken漏洩、五つの崩壊が示す「中央集権的コンプライアンス」の構造的脆弱性

The compliance regime has become the breach surface

2026年、暗号資産業界は規制と監査を受け、ライセンスを取得した取引所が「人間であること」を証明するための仕組みを整えている。しかしその結果、犯罪市場がいくら金を積み、フィッシングや内部者の買収を重ねても独自に収集できなかったであろう規模の身元データが、日常の業務として次々と生み出されている。これこそが本稿の根幹をなす構造的事実である。詐欺防止の名の下に立法者と市民に売り込まれたKnow Your Customer制度は、現行のアーキテクチャにおいて、消費者インターネット史上最大級の身元盗用データの単一供給源と化してしまった。原因は特定ベンダーの悪意ではなく、集中化という幾何学的構造にある。少数の専門プロバイダーが世界の暗号資産ユーザーの圧倒的多数の認証済み身元記録を掌握しており、そのいずれかが侵害されれば、被害は一挙に数億件規模で計測される。ここで問うべきは、マネーロンダリング防止規則そのものが原則的に誤っているかということではない。問うべきは、これらの規則が採った特定の制度的形態、すなわちオンボーディングの全フローを少数ベンダーに集約する形態が、予測可能であり、予測され、そして今現実化した単一障害点を生み出したということであり、2026年がその代償を支払う年となったということである。

Five incidents, in order

• Cryptomus、2025年10月16日。 カナダの金融情報機関FINTRACは、決済プロセッサCryptomusの運営主体Xeltox Enterprisesに対し、1億7600万ドルの罰金を科した。Krebs on Securityの報道によれば、ランサムウェア関与者や盗難認証情報市場に通じる取引について、研究者が繰り返し警告していたにもかかわらず、疑わしい活動報告を提出しなかった包括的な怠慢が理由である。ここでのベクトルは、技術的な意味でのデータ侵害ではない。むしろ逆である。規制された絞り込みポイントが、何も絞り込めなかったのだ。同じ構造的問題が、反対の症状を呈した形である。当サイトはこの罰金について[Cryptomusの記事](/articles/cryptomus-vancouver-shell)で詳しく取り上げている。
• Sumsub、2026年初頭。 クライアントにBitget、Bitpanda、Bybit、Huobi、Wirexを含むと報じられるコンプライアンスベンダーが、侵害開示の対象となった。どの取引所のユーザー数推定を採用するかによって、1500万から4000万人のトレーダーの認証済み身元記録に影響が及んだ。被害の正確な範囲は把握しにくい。下流の各取引所には被害を最小化するインセンティブがあり、Sumsub自体にも範囲を窄めるインセンティブがあるからだ。しかし核心的な事実は、単一ベンダーの侵害が5つの主要プラットフォームに同時に波及したという点にある。
• IDMerit、2026年2月18日開示。 10億件の記録、26カ国、完全な法的氏名が国民識別番号、通信メタデータ、および各顧客が承認されたか否かを記録するAML判断ログと相互参照されている。Bright Defenseのインシデント報告とCybernewsのフォローアップは、露出したコーパスには個人を特定する入力情報だけでなく、下流機関が依存していた構造化AMLスコアも含まれていたことを確認した。これは侵害が二重に悪用可能であることを意味する。犯罪者は身元情報を得ると同時に、その身元が生み出すコンプライアンス上の「答え」も手に入れる。当サイトの[IDMerit深掘り記事](/articles/idmerit-billion-kyc-sim-swap)でレコードスキーマを解説している。
• Kraken管理者流出疑惑、2026年3月。 TorNewsの報道によれば、ダークウェブの売り手が、Krakenと特定される主要取引所のユーザープロフィール、完全な取引履歴、サポートチケットアーカイブ、およびアップロードされたKYC書類への読み取り専用管理者アクセスを提供している。取引所はこの報道を確認しておらず、当サイトは疑惑として扱っている。ここに含める理由は、確認の有無にかかわらず、この出品が明確なパターンと一致しているからだ。2026年の犯罪市場で最も価値の高い商品は、もはやクレジットカードダンプではなく、取引所グレードの認証済み身元バンドルなのである。
• Zcash Orchardコンセンサスバグ、2026年5月29日。 領域も失敗モードも異なり、別のエッセイと言えるが、教訓は韻を踏む。プライバシーコイン経済の無視できない部分が依存するプライバシー基本要素であるOrchardプールは、zk-SNARK回路コードをレビューできる暗号学者が限られ、その人口向けの監査市場が薄いため、複数の監査を潜り抜けたバグを抱えて出荷された。少数の適格な専門家に依存する重要な基本要素は、少数の適格なベンダーに依存する重要なコンプライアンスインフラと、構造的に同じ仕方で失敗する。当サイトは[基本要素監査の記事](/articles/zcash-orchard-4-years-undetected)でOrchardのインシデントを論じている。

Why specialization compounds the risk

現行アーキテクチャの標準的な擁護論はこうである。専門ベンダーは各取引所が社内で行うよりコンプライアンスを的確にこなせるため、専門家によるオンボーディングの統合は平均的な結果の質を高める。これは誤陽性率や判断遅延という狭い技術的意味では、おそらく真実である。しかし実際に重要な問題、すなわち単一ベンダー侵害というテールリスクには無関係である。専門化は平均を改善し、同時にテールを悪化させる。平均的なコンプライアンス質だけを見る規制者は、最悪のテール結果を生み出す統合を、まさに報酬として与えている。FATFの2025年仮想資産サービスプロバイダーに関する更新では、「一貫した適用」という顧客デューデリジェンスの指導言語の中で、この集中化を生み出す種類のベンダー主導標準化を積極的に推奨している。EUのMiCA、資金移動規制、米国のGENIUS Actは、設計と免除構造により、少数の承認されたコンプライアンス相手方へと向かわせる。この体制が偶然に集中化しているのではない。規制当局がすでに暗黙のうちに認めたベンダーにアウトソーシングすることが、実証可能な規制コンプライアンスへの最も安価な道であるゆえに、集中化しているのだ。

The historical record was already on the wall

etheralpha/kycisbadリポジトリは、2019年以降、KYC関連の流出と侵害の公開台帳を維持している。2025年以前のエントリだけでも、取引所、カストディアン、専門身元ベンダーにおける十数件以上のインシデントを文書化しており、2019年のBitMEXメール流出から2022年のCelsius債権者リスト、2024年のGeminiサポートベンダーインシデントまで及ぶ。これらの年を通じて見えるパターンは、どのプロバイダーも特に不注意だったということではない。「認証済み身元記録が静止している場所」として定義される表面積が四半期ごとに単調に増大し、それらの場所のいずれも12カ月の期間中に侵害されない確率が、現在事実上ゼロになったということである。2026年のインシデントは新しいカテゴリーの失敗ではない。規制アーキテクチャが着実に悪化させた、数年にわたる予測された傾向の、予測された継続である。

What the compliance theatre actually costs

会計を正直に行おう。IDMeritのコーパスだけでも、関連AMLメタデータを持つ認証済み身元記録のダークウェブ市場通行レートで価格付けすれば、2025年のいかなる単一ランサムウェア作戦の総収益よりも、犯罪市場で価値がある。これが1件の侵害である。この損失に対し、KYCベンダーレイヤーで検出された違法資金の増分ボリュームを、取引所のトランザクションモニタリングレイヤーで検出されたものと比較して測定した限界AML利益を対比させると、率直な数字で見て、このトレードは壊滅的に見える。正直に言えば、この体制はユーザーベースに対してほぼ確実な産業規模の身元盗用上昇を課しており、その見返りとして、同じ取引所がオフチェーン身元コーパスをまったく構築せずにオンチェーンアナリティクスから生み出せたであろう限界AMLシグナルの改善を得ているにすぎない。

What this changes for the Directory

私たちは対応として3つの編集上の措置を講じる。第一に、KYCプロバイダー別・取引所別の対応付けリストを継続的プロジェクトとして公開する。これにより、取引所を評価するユーザーが、どのコンプライアンスベンダーが最終的に自分の書類を保持することになるかを確認し、自明のリスク判断を下せるようにする。第二に、ユーザーが保持する鍵、人格証明スキーム、またはゼロ知識証明を通じて身元をルーティングするプラットフォームを、ランキングシステムで優遇する。明確な根拠は、身元のストレージレイヤーの分散化が、もはやニッチな暗号学的嗜好ではなく、第一秩序の安全性特性であるということだ。第三に、これはDirectoryが印刷で保持する編集上の立場であり、証拠が変わるまで変わらないが、私たちは政策上の答えがAML義務の放棄ではなく、これらの義務が生み出した集中型ベンダーアーキテクチャの解体にあると主張する。規制当局の問いは、「取引所はユーザーを認証したか」であるのをやめて、「取引所は、攻撃者が盗める身元のコピーを生み出さずにユーザーを認証したか」であるべきだ。これらは異なる問いであり、2026年に擁護可能な答えを持つのはそのうちの一方だけである。

Sources

• Krebs on Security, Canada Fines Cybercrime-Friendly Cryptomus $176M (2025年10月)
• Cybernews, Global data leak exposes billion records (2026年2月)
• Bright Defense, IDMerit data breach analysis
• TorNews, Kraken admin internal access leaked on dark web
• etheralpha/kycisbad, historical record of KYC leaks
• FATF, Updated Guidance for a Risk-Based Approach to Virtual Assets and VASPs, 2025年改訂版
• NoKYC Directory, [Cryptomus FINTRAC sanctions](/articles/cryptomus-vancouver-shell)
• NoKYC Directory, [IDMerit: one billion records and what they actually contained](/articles/idmerit-billion-kyc-sim-swap)

Edit log

• 2026-04-22 : etheralpha/kycisbadリポジトリを取得し、長期的なパターンを確立するため2025年以前のインシデントについてメモを取った。
• 2026-05-04 : Sumsubのクライアントリストを、CoinGeckoのBitget、Bybit、Huobiのユーザー数推定と照合し、波及規模を把握した。
• 2026-05-17 : FATF 2025年の仮想資産サービスプロバイダーに関する更新を読み、構造的メカニズムのセクションのため集中化推奨文言についてメモを取った。
• 2026-05-28 : 「compliance theatre」セクションを起草し、論争に逸脱した3段落を削除し、IDMeritとCryptomusの提出書類に厳密に根拠を置いた形で書き直した。
• 2026-06-04 : 最終確認、エムダッシュをすべて削除、記事#2と#3への内部相互リンクを追加、判決段落を3段階の編集上のコミットメントに締めくくった。