ビットコイン取引には、ビジネスの視点から見た場合、あまり語られない大きな課題がある。仮に、企業が使い回したウォレットアドレスからサプライヤーにBTCで支払いをした場合、その相手は請求書の情報以上を知ることができるという点だ。
読者がこの文章を読んでいる今この瞬間にも、競合他社はブロックエクスプローラーを利用し、最近の取引で誰にビットコインを支払い、金額や時期、取引先までを確認できる。取引の追跡は、やましいことがある人だけの問題ではない。資金移動や提携関係、取引フローなどが、時間をかけて追跡する意思さえあれば誰でも把握できる点自体、ビジネス上のリスクとなる。
このリスクは、一般的に「オンチェーン」で取引に署名した瞬間から生じると考えがちだが、実際にはそうではない。2026年7月、KUルーヴェン大学DistriNetグループの研究者らが85種類の主要ブラウザ拡張型ウォレットをテストしたところ、ウォレット自体が署名前からユーザー特定や追跡につながる情報漏えいが発生することが明らかになった。
ウォレットは残高表示のために外部サーバーへ接続する。その際、アドレス情報が平文のまま送信される。脆弱性を狙った攻撃は不要であり、拡張機能は設計どおりに動作しているだけである。全85種類中、指紋採取による情報漏えいが確認されたのは36種類で、これは調査対象インストールの約82％を占める。このサブグループが、以降の数値の基準となる。
これは、犯罪とは無関係な利用者にも該当する。アンディ・グリーンバーグ氏は約10年間にわたり、暗号資産犯罪を丹念に報じてきた。同氏は、ブロックチェーンを隠れみのに使うハッカーや犯罪組織などを取材し、それを捜査当局が一人ずつ摘発する過程も見てきた。彼がビットコインの追跡性を理解するまでに10年かかった。守りだと思われていた台帳こそが、犯罪者を有罪へ導く証拠となった。
過剰な自信は一方向に働く――情報を秘匿したと考える人の多くは、そもそも隠す必要のない存在だ。寄付歴がすべて明るみに出る支援者、支払い履歴から情報源が推測されるジャーナリスト、先述のB2Bの取引先などである。
こうした情報はほぼすべて一方的に漏洩する。本稿では、情報漏えいの全体像と、その中で唯一本人のコントロール下にある点を明示する。
取引以外でウォレットから漏れる情報
暗号資産ウォレットは、取引を行う前から情報を漏らす恐れがある。ブラウザウォレットは残高表示のために通常は外部サーバーへウォレットアドレスを送信する。KUルーヴェン大学の研究者は、3500万件程度のChromeウェブストアインストールに相当する85種類の主要拡張ウォレットを対象に調査を実施。その結果、36種類（インストール数で約82％相当）が、この方法で特定可能・追跡可能だった。
さらに17種類（インストール数約2300万件相当）では、同一ユーザーの複数アドレス間の関連性まで漏れる。36種類のうち22種類では、ユーザーがアクセル権限を取り消し、ブラウザを再起動した後であっても、サイト側からアドレスが読み取られる現象が確認された。
加えて、ユーザーがウォレット接続を行わなくても、サイトはインストール済み拡張ウォレットを判別できる場合が多い。研究者らはまた、36種中23種で、外部サイト経由でコンテンツを表示した際、ユーザーがクリックしなくてもアドレスが漏れることも突き止めた。
研究チームから連絡を受けた大半のウォレット事業者はこの問題を重大なバグとして扱わなかった。一方で、コインベース・ウォレット、Coin98、Hanaなどは対応策を導入したが、MetaMask、Rabby、OKXなどは対応しなかった。また、分散型アプリ30件を検証した結果、「切断」やログアウト操作時にウォレットアクセスを正しく解除したのは11件のみだった。
アドレスが可視化されると、それ以降の情報はパブリックブロックチェーンから容易に得られる。
ブロックチェーン分析企業は、複数のアドレスが同一個人または組織に属することを示唆する取引パターンを探している。
例えば、複数ウォレット間で資金移動や類似操作が繰り返されるケースでは、ソフトウェアがそれらを同一グループと推定できる。既知の1アドレスから複数アドレスへと分析を広げられる構図である。
この規模は極めて大きい。2026年半ばまでに、Chainalysis社によれば、10億超のブロックチェーンアドレスが13万4000件超の識別済みエンティティへとグループ化されたという。
資金を別チェーンへ移そうとも履歴は完全には消えない。分析担当者はネットワーク間ブリッジを伝って資産移動を追跡できる。分散型取引所利用でも履歴が消えるわけではなく、スワップの記録は依然としてブロックチェーン上に残る。
要点は明快である。ウォレットアドレスは見かけ上ランダムな文字列だが、そのアドレスを巡る足跡が増えれば、きわめて詳細なファイナンスプロフィールが出来上がる。
こうした仕組みが実際に機能した事例もある。2021年のコロニアル・パイプラインへのランサムウェア攻撃後、米当局はビットコインの追跡で複数ウォレット間の資金流れを把握し、身代金440万ドルのうち約230万ドルを回収した。
Helix──隠れても見破られる仕組み
ビットコイン誕生初期、Helixはダークネット市場で非常に人気の高いサービスだった。その目的はただひとつ、ビットコイン履歴の追跡を不可能にすることだった。ラリー・ディーン・ハーモン氏は、2014年から2017年までこのサービスを「タンブラー」として運営、顧客のコインをミックスすることで資金の流れを見えなくし、「クリーン」なビットコインに仕立てて販売した。徹底的な秘匿性を目指したモデルであり、サービスの存在理由も、コインの出所と送り先の紐付けを断ち切ることだった。
通過したビットコインは約35万4,468BTC、当時のレートで約3億1,100万ドルに相当した。ミキシングにより取引履歴の見た目は変化したが、履歴そのものは消えなかった。どのコインもブロックチェーンに恒久的な証跡が残され、後から変更や削除はできない。
ハーモン氏は各スワップ取引ごとに2.5％の手数料を徴収し、その手数料は他のコインと同じく、チェーン上に恒久的に記録された。同氏が匿名サービス運営のために得た分け前が、その運営者へと辿るための証拠となった。足跡を消すために設計された唯一のサービスが、消せない足跡に自らの痕跡を残した。
ウォレットの取引履歴が実名に紐づく仕組み
ヘリックス事件は、ビットコインを移動させても完全な足跡除去にはならないことを示している。しかし、資金の流れを追跡するのは仕事の半分に過ぎない。アナリストは、これらのウォレットアドレスを実在の個人や企業に結びつける必要がある。
通常それは、資金が規制された取引所に到達したときに発生する。取引所は、顧客ごとに入金アドレスを把握しており、KYC（顧客確認）手続きによって本人確認情報を保有する。調査当局がビットコインの送金先を特定できた場合、法的手続きを通じてアカウント情報の開示を求めることができる。
このひとつの接点だけで一度きりの取引以上の情報が得られる場合がある。ブロックチェーン解析ですでに複数のアドレスが同一所有者の可能性として紐付けられている場合、どれか一つでも実名化できれば、そのグループ全体に名義がつく。取引所は自社のプラットフォームに到達したアドレスしか把握しないが、先行する分析がそれ以外のアドレスとの関連性を指摘し得る。
場合によっては法的な請求は不要である。人や企業は、ウェブサイトや寄付ページ、テレグラムのチャットや公開プロフィールなどで自らウォレットアドレスを公表するのが一般的だ。一度名前と紐付いたアドレスは、過去の送金履歴も公開される。
企業にとってこれには大きなプライバシー上のリスクが生じる。仕入れ先への支払いで過去の支払履歴や資金移動、取引先までも明らかになる。ブロックチェーン上の取引は永久に記録され日時も残るため、ひとつの特定ウォレットにより、過去数年分の取引活動が再構築されやすくなる。
ブロックチェーン追跡の誤りと限界
しかしブロックチェーン分析が常に正しいとは限らない。
ウォレット同士を関連付けるシステムの多くはパターンや確率に大きく依存している。誤検知（無実の取引を疑わしいものと識別する）や、検知漏れ（不審な取引の見逃し）も発生し得る。
課題のひとつは取引履歴にある。ビットコインは多くの所有者を経由する。過去にミキサーやリスク判定されたウォレットを経て入手した場合、後の所有者が無関係であっても、そのコインに疑いの目がかかる場合がある。
あるP2P取引利用者は、受け取ったビットコインが過去にミキサーを経由したため、アカウント凍結の被害に遭ったと記録されている。
取引所などの規制事業者にとっても、こうした誤検知は実務上のコストを生む。無関係な顧客の資産凍結は、コンプライアンスやカスタマーサポート面のリスクも伴う。
トレーシング会社にも把握できる範囲には限界がある。プライバシーを重視した暗号資産、たとえばモネロなどは追跡が格段に難しい。また、協力しない司法管轄区域の取引所に資金が送金された場合、捜査が打ち切られる場合もある。
最大手のブロックチェーン分析企業も大幅な修正を余儀なくされた例がある。2025年初頭、チェイナリシス社は、前年に北朝鮮によって盗まれた暗号資産の推計を10億ドルから6億6050万ドルに下方修正した。複数のハッキング事件の再評価を経たもので、3億ドル以上の修正額となった。
こうした分析手法の信頼性は裁判でも問われている。ビットコイン・フォグ事件やトルネードキャッシュ事件などで弁護側は、外部から十分に検証できない独自ソフトによる分析結果の信用性に疑問を呈した。
この検証姿勢が重要なのは、チェイナリシス社が米国政府の主要な契約先でもあるためだ。連邦記録に基づく独立調査によれば、同社は9300万ドル超の政府契約を受注している。
誤った分析の最大のリスクは無実の利用者に及ぶ。誤った関連付けでアカウントが凍結される場合もある。保護規定が脆弱な国では、同じツールにより寄付者やジャーナリスト、政治活動家の資金源も晒されうる。ブロックチェーン追跡は多くを明らかにできるが、その結果は決して無条件に正しいものとして扱うべきではない。
ユーザーが唯一制御できる足跡の部分
前述したほとんどのリスクはユーザーの意思とは無関係に生じる。ウォレットは取引前からアドレスを漏らし得る。ブロックチェーン分析は複数アドレスを接続し、規制下の取引所はKYC情報で実名に紐付ける。
唯一ユーザー側で制御できるのは、送金者と受取人の直接的な繋がりである。ウォレット間の送金が行われると、そのつながりはチェーン上に永久記録として残り、カウンターパーティや資金移動、事業関係も後に判明する可能性がある。
ChangeNOW社はプライベート転送機能を導入し、この直接的な結びつきを排除した。この機能は一度限りの別アドレス経由で送金を中継することで、受取側が送信者から直接資金を受け取らない仕組みとした。これによって、送金者と受取人の経路だけは見えなくするが、広範な匿名性までは謳っていない。
それでもその他の情報漏洩リスクは残る。ウォレットメタデータは流出しうるし、周辺取引の追跡も可能なまま。入金、送金、出金の各段階ではAML（マネーロンダリング対策）審査も適用される。
APIパートナーにとって、プライベート転送は既存の送金インフラ上でオプション機能として利用できる。APIキーや手数料モデルは共通で、別途製品や統合は不要。より狭い目的として、ユーザーが自ら作る唯一の可視リンクを除去できる。
結論
原点に立ち返る。アンディ・グリーンバーグ氏はブロックチェーンが利用者の匿名性を守ると長年信じていたが、最終的には全く逆の結論に至った。「ビットコインがこれほど追跡容易だと理解するのに10年かかった」。この記事も、この認識を出発点とする。完全な追跡困難性は存在しない。ウォレットは情報を漏らし、チェーンは記録し、クラスター解析は実名と結びつく。
パートナーに推奨されるのは、匿名性そのものではない。過去10年で明らかになった通り、匿名性は“性質”ではなく“物語”に過ぎない。どの層の情報が遮断され、どこが開かれているのか明確に把握することこそ重要。プライベート転送は、ユーザーが自ら生み出す唯一のリンクだけを排除する機能となる。
