米国財務省による「分散型金融（DeFi）の不正金融リスク評価」詳細分析

米国財務省は、分散型金融（DeFi）サービスに伴う潜在的リスクに関する初の分析を公表し、マネーロンダリング防止（AML）およびカウンターテロ資金供与防止（CFT）規制に非準拠のDeFiプラットフォームが現在最も重大な不正金融リスクをもたらすと結論付けました。

報告書は、DeFiサービスがしばしば中央集権的な管理と監督を行うガバナンス機関を持つことを指摘しています。

報告書はまた、DeFiサービスがしばしばAML/CFTコントロールや顧客識別のためのプロセスを実装しておらず、利益の即時かつ偽名的なレイヤリングを可能にしていると警告しています。その結果、DeFiは犯罪者、ハッカー、そして北朝鮮（DPRK）からの犯罪収益を洗浄するための悪意ある行為者にとって温床となっています。

財務省は、米国のAML/CFT要件およびDeFiサービス規則の可能な強化策を評価し、将来の対策に情報を提供するために民間セクターからの意見を求めることを推奨しています。

「明らかに、我々だけではできません」とテロ対策・金融情報担当副長官のブライアン・ネルソンは述べました。「民間セクターには、リスク評価の結果を活用し、自らのリスク軽減戦略に反映させるよう呼びかけます」

報告書はまた、AML/CFT規制監督を強化し、DeFiサービスに対するコンプライアンスチェックに関する追加指針を民間セクターに提供する必要性を強調しています。さらに、DeFiサービス提供者は適切な規制当局に登録し、犯罪利用を防止するために十分なAML/CFTコントロールを確立・維持することが推奨されています。

DeFiは事業活動の背後にいる個人の特定に課題をもたらす可能性がありますが、報告書は、サービスが中央集権型であるか分散型であるかに関わらず、銀行秘密法（BSA）の対象であることを強調しています。

ネルソンによれば、完全に分散化されていると主張する一部の組織は、実際には従来の金融に近い活動を行っている可能性があります。したがって、彼らの主張に反して、真に分散化されているわけではありません。ネルソンは、これらの組織は「名ばかりの分散化」であると指摘しています。

市場構造

2023年の40ページにわたるDeFi不正金融リスク評価報告書は水曜日に公開され、AML/CFT規制義務に関連するDeFiサービスについて論じています。

米国では、AML/CFT義務は個人が従事する活動によって決定されます。銀行、ミューチュアルファンド、ブローカーディーラー、マネーサービス事業者（MSB）、先物委託業者（FCM）、紹介ブローカーなどの金融機関は、AMLおよびCFT規制を遵守する必要があります。

これらの義務には、効果的なAMLプログラムの実施や、記録の保持、疑わしい活動報告（SAR）要件などの報告義務が含まれます。

商品先物取引委員会（CFTC）、金融犯罪取締ネットワーク（FinCEN）、証券取引委員会（SEC）がこれらの活動を規制しており、個人がどれだけ中央集権的であるかは、金融機関のAML/CFT義務に影響しないと報告書は述べています。

DeFiサービスが米国内で全体または実質的に事業を行い、仮想資産を受け入れ送信する場合、マネートランスミッター（送金業者）に該当し、法定通貨でサービスを提供する送金業者と同様のAML/CFT義務が課される可能性が高いと付け加えました。報告書はまた、サービスがBSA（銀行秘密法）やその他の規制枠組みの下で金融機関の定義を満たす限り、分散化の程度はこれらの義務に影響しないと指摘しています。

報告書は、暗号業界がDeFi領域における規制の明確性が不足していると主張し、特に何が証券に該当するか、どの規制当局に登録すべきか、DeFiサービスが金融機関の定義を満たすかについて言及していますが、CFTC、FinCEN、SECは過去10年間にわたり指針や執行措置を提供し、規制義務を明確にしてきたと主張しています。これらの機関はまた、スマートコントラクトやコンピュータコードによる特定機能の自動化が、対象サービスを提供する金融機関の義務に影響しないことを強調しています。

さらに、米国内に何らかの拠点を持つ、または米国市民が主導するDeFiサービスは、財務省の外国資産管理局（OFAC）が管理・執行する経済制裁プログラムに従わなければなりません。米国外の者も、場合によってはOFACの制裁コンプライアンス義務を負います。これらの義務は、取引が仮想資産であろうと従来の法定通貨であろうと同様です。

機能的に分散化されていないDeFiサービス

DeFiサービスにおける中央集権要素を論じる中で、報告書はDeFiサービスの分散化はガバナンス構造、サービスへのアクセス手段、そしてサービスが構築される決済レイヤーによって影響を受ける可能性があると指摘しています。

そのため、DeFiサービスは完全に分散化されていると主張することがありますが、実際には全くそうではないと述べられています。実際、完全な分散化を主張していても、DeFiサービスにはガバナンス構造がしばしば存在し、特定の場合にはDeFiサービスの所有者または運営者が管理キーを保持しており、契約の仕様に基づいてスマートコントラクトを変更または無効化できることが報告書で指摘されています。

報告書はさらに、ガバナンスはDAOによって管理されると称され、ガバナンストークンが参加者にブロックチェーンやプロトコルの機能を決定する提案の導入と投票を可能にすると指摘しています。

しかしながら、提案の導入と投票プロセス、決定が可決されるための投票割合、そして決定の実施方法はDeFiサービスごとに大きく異なります。さらに、ガバナンストークンや投票権の集中は、少数の人物が高度な支配権を行使する結果につながる可能性があります。

アプリケーション開発者はDeFiサービスの使いやすさにとってさらに重要であり、アプリを通じて提供される情報はDeFiインフラを利用した取引に不可欠です。決済レイヤーのブロックチェーンも分散化の程度が異なると述べられています。

DeFiサービスが稼働するブロックチェーンのほとんどはパーミッションレスであり、ユーザーはネットワーク活動に参加するための事前承認を必要としませんと報告書は述べていますが、一部のブロックチェーンは他よりも中央集権的であり、これがそれら上に構築されたDeFiサービスの分散化の程度に影響を与える可能性があります。

不正金融の脅威

不正金融の脅威を取り上げる中で、報告書はDeFiサービスがサイバー犯罪者や詐欺師などの不正行為者に利用され、違法収益の洗浄手段として脆弱であることを指摘しています。

報告書は、犯罪者がサイバーセキュリティの弱点を悪用してDeFiサービスを侵害し、仮想資産を盗むと指摘しており、特に国際制裁の圧力下にある北朝鮮が、集中型の仮想資産サービスプロバイダー（VASP）やDeFiサービスから暗号資産をますます盗んでいると述べています。

マネーロンダリングはDeFiサービスに関連する重要な問題であり、犯罪者は仮想資産を他の仮想資産と交換したり、クロスチェーンブリッジ、ミキサー、流動性プールをレイヤリング手段として利用したりして収益を洗浄しています、と報告書は述べています。

報告書によれば、チェーンホッピングは法執行機関が金融取引を追跡することを困難にし、ミキサーは取引の送信元・宛先・金額を隠蔽し、流動性プールは取引手数料から資金を生成することで、違法収益の追跡を試みる捜査官に課題をもたらしています。

これらのサービスは顧客識別情報の提供が不要であるため、犯罪者にとって検知されずに利用しやすく、魅力的であると報告書は指摘しています。

さまざまな不正活動のタイプを論じる中で、近年ますます深刻かつ高度化したランサムウェア攻撃についても取り上げました。もう一つは窃盗で、サイバー犯罪者がDeFiサービスを支配するスマートコントラクトの脆弱性を悪用し、数十億ドル相当の仮想資産を盗んでいます。詐欺やスキャムも、複数の米国政府機関が報告する仮想資産に関する損失が急増しています。

報告書はまた、麻薬密売組織が仮想資産を用いて資金を洗浄することにますます慣れ、北朝鮮が違法な兵器プログラムの資金調達のために不正な暗号関連活動に関与していることについても論じています。

DeFiにおける脆弱性の原因

財務省のDeFiに関する不正金融リスク評価は、米国内で運営されているAML/CFTコントロールや顧客識別プロセスを実装していない非準拠のDeFiサービスが、DeFiサービスに存在する脆弱性の原因であると特定しました。

このようなDeFiサービスは、名前や個人を特定できる情報の代わりに長い英数字文字列を使用し、即時かつ偽名的に収益のレイヤリングを可能にします。

報告書によれば、BSAの対象となる活動に従事するDeFiサービスはAML/CFT義務を負い、米国の管轄下にあるすべてのDeFiサービスは、対象金融機関であるかどうかに関わらず、制裁コンプライアンス義務を負います。

仲介排除も別の要因であり、非ホスト型ウォレットのユーザーが規制された金融機関を介さずにデジタル資産の保管と転送を行えるようにします。この場合、BSAの現在の金融機関定義に該当しないDeFiサービスはAML/CFT対策を実施しない可能性があります。

同機関は、AML/CFT体制の国境を越える性質と規制の抜け穴を利用した規制アービトラージを活用し、特定のDeFiサービスを含むVASPが十分なAML/CFTコントロールなしに海外で運営できるようにし、米国金融システムに脅威をもたらすと報告書は述べています。

緩和策

報告書は、DeFiに伴うリスクを緩和するために、DeFiサービスに対する規制監督の強化が必要であることを強調しています。

緩和策として、報告書はDeFiサービスに対するグローバルおよび国内レベルの規制枠組みを説明し、仮想資産およびDeFiエコシステムに特有の要素がもたらす緩和効果を検討しています。報告書は、これらの策は不正金融リスクを部分的に緩和できるものの、特定された脆弱性に十分に対処できていないと指摘しています。

米国のAML/CFT規制枠組みは、国内で運営されるDeFiサービスに関連する不正金融リスクに対処するための基礎的な緩和策とみなされています。特にFATFを中心とした国際フォーラムでの取り組みは、基準の策定とその実施促進に重要な役割を果たし、DeFiサービスに関連する不正金融リスクへの対処に寄与すると報告書は述べています。

DeFiサービスに関わる取引はしばしばパブリックブロックチェーン上で行われ、偽名的な取引データはブロックチェーンの公開台帳で閲覧・追跡可能であり、当局が不正収益の流れを追跡する調査を支援できると報告書は述べています。（パブリックブロックチェーンとプライベートブロックチェーンの違いについてはこちらをご覧ください）

それでも、分散型金融（DeFi）領域における違法金融活動の緩和は過小評価できません。パブリックブロックチェーンデータは一定の洞察を提供するものの、その固有の制限が大きな障壁となります。これらのデジタル台帳の偽名性に加え、ミキサー、クロスチェーンブリッジ、匿名性強化暗号通貨（AEC）といったユーザーの手法が取引の痕跡を効果的に曇らせます。その結果、DeFi領域での活動の追跡とトレースはますます複雑かつ困難になります。

財務省はさらに、暗号業界の複数の参加者がレイヤー2技術やプライベートブロックチェーンの利用など、暗号取引のプライバシー向上策を検討しており、これらの場合はパブリック台帳が閲覧できず、ブロックチェーン追跡も適用できないと指摘しています。

DeFiユーザーが商品やサービスの購入のために仮想資産を法定通貨に交換する際に中央集権型VASPにアクセスする必要がある場合でも、中央集権型VASPのAML/CFTプログラムへの依存は、非準拠のDeFiサービスに関連するリスクを部分的にしか緩和しないと指摘されています。

報告書によれば、多くの中央集権型VASP自体が国際的なAML/CFT基準に準拠しておらず、規制が弱いまたは存在しない管轄区域に拠点を置いていることが多いです。さらに、これらの要件の対象であるにもかかわらず、提供するサービスに対して必要なAMLプログラムを実施していないケースも確認されています。

同機関は、仮想資産のさらなる普及により、多くの取引におけるオン・オフランプとしての中央集権型VASPの必要性が低減する可能性があると述べました。現在、多くの商店、企業、金融機関は仮想資産を支払手段として受け入れていませんが、仮想資産が広く受け入れられるようになると、直接的な支払手段としての仮想資産の利用が増加し、中央集権型VASPへの依存が減少すると付け加えました。

リスク対策のために推奨される行動

報告書は、DeFi領域が全体の仮想資産エコシステムのごく一部であり、不正活動の多くは暗号ではなく法定通貨や従来の資産を使用して行われていると認識しています。それにもかかわらず、DeFiサービスに関連するリスクに対処するためにさらなる行動が必要であると示唆しています。

報告書は、暗号活動に対する米国のAML/CFT監督を強化することを含む複数の行動を推奨しています。米国政府は、既存の監督・執行機能を強化し、AML/CFTおよびその他の規制要件、特にBSA義務を負うDeFiサービスの遵守を促進すべきであると述べ、さらに規制当局は業界に対し、DeFiサービスに適用される規制の適用方法を明確にする追加指針を提供すべきだと付け加えました。

DeFiサービスに適用される米国のAML/CFT規制体制の可能な強化策を評価することも、取るべき行動の一つです。評価は、BSAの定義から特定のDeFiサービスが外れることを防ぐために、規制体制のギャップを埋めることを推奨しています。

さらに、報告書は政府が国際的なパートナーと協力して、仮想資産およびVASPに関する国際基準の実施におけるギャップを埋めるべきだと提案しています。また、米国は本報告書の調査結果を外国のパートナーと共有し、DeFiサービスに関するリスク評価と緩和策の策定・実施を促すよう奨励すべきです。

米国政府は、DeFiエコシステムの変化で不正金融リスクやAML/CFT義務の適用に影響を与える可能性があるものを継続的に監視すべきであり、これは研究と民間セクターとのエンゲージメントを通じて実施できると報告書は述べています。

報告書はさらに、当局がDeFiサービスに対し、リアルタイム分析、モニタリング、コードの厳格なテストを導入し、疑わしい活動を特定・対応すること、そして仮想資産企業や一般に潜在的脅威や緩和策に関する情報を共有するよう求めています。

米国政府はDeFiサービスの不正金融リスクを緩和するイノベーションを促進するために開発者と協力すべきであり、政策立案者や規制当局はこれらの取り組みを支援するために必要な規制や指針の変更を検討・評価すべきだと付け加えました。

公衆からの意見募集

結論として、報告書は米国政府がDeFiサービスに関連するリスクに対処するため、AML/CFT監督の強化、米国AML/CFT規制体制の拡充、外国パートナーとの協力、サイバー耐性の促進、そして緩和策の責任あるイノベーションなど、複数の措置を講じるべきだと推奨しています。

これらの提言を実施することで、米国政府はDeFiサービスを通じた不正活動から米国金融システムをより効果的に保護できると報告書は述べています。

推奨された行動の一環として、財務省はDeFiサービスがもたらす規制上の課題に対処するための公衆からの意見も求めています。

質問項目には、DeFiサービスがBSAの金融機関定義に該当するかどうか、BSAに該当しないDeFiサービスに対するリスク緩和策の奨励、そしてBSAで定義されたDeFiサービスに対するAML/CFT義務の明確化が含まれます。また、DeFiサービスの種類ごとに異なるAML/CFT義務の検討も行われています。