暗号資産取引所におけるAMLコンプライアンスとは？VASPの5つの義務

米国の取引所でコンプライアンス担当者が検査官からの書簡を開封する。指摘事項はサイクルごとに繰り返される。モニタリングはオンボーディング時にしか実施されていなかった。疑わしい取引報告が遅延して提出された。ライセンス更新が登録上の不備により停滞した。暗号資産取引所のAMLコンプライアンスは、単一のタスクではない。バーチャル・アセット・サービス・プロバイダー（VASP）が継続的に履行しなければならない5つの義務から成る体系である。いずれかの層を見落とすと、ライセンス、銀行パートナー、またはその両方が圧力にさらされる。

暗号資産取引所におけるAMLコンプライアンスの意味

暗号資産取引所のAMLコンプライアンスとは、VASPが合法的に運営するために遵守しなければならないマネーロンダリング対策およびテロ資金供与対策（AML/CFT）上の義務の総体である。これらの義務は、バーチャルアセットに関するFATF勧告、および米国においてはFinCENのマネーサービス業者規則によって定められている。取引所はオンボーディング時の顧客確認だけでなく、5つの層すべてに責任を負う。

VASPとは、顧客のためにバーチャルアセットの交換、送金、または保管を行うあらゆる事業体に対する規制上の呼称である。取引所はトークンペアを上場した瞬間にその呼称を帯びる。取引所のAML上の義務は、銀行のプログラムを単純に転用したものではない。秒単位で動き、複数のチェーンをまたぎ、しばしばミキサーを経由するオンチェーンのアドレスおよびトランザクションの上に成り立っている。

その速度が業務の形を変える。銀行は氏名リストおよび取引相手データベースに照らして送金をスクリーニングする。取引所は、3ホップ上流でミキサーを通過した可能性のある入金をスクリーニングするが、その露出は資金経路を追跡して初めて明らかになる。顧客ファイルにそのシグナルは含まれていない。チェーンに含まれているのだ。そのため、5つの義務のうちの1つであるトランザクション・モニタリングは、銀行側に同等のスピードで対応する手法がなく、チェーン自体を読み取らなければならない。

本記事はフレームワークを定義し、「何を行うか」に焦点を絞る。運用上の実施方法、スクリーニングのワークフロー、およびレポートのエクスポートについては、別途用意した実装ウォークスルーで解説する。VASPの呼称とその義務を定義するグローバル標準については、バーチャルアセットに関するFATFガイダンスを参照されたい。

VASPの5つのコア義務の詳細

このフレームワークは5つの義務で構成される。各義務はFATF勧告に対応し、米国の取引所については、FinCENの規則にも対応している。一部しかカバーしないコンプライアンス・プログラムは審査に合格しない。最初の2つと最後の1つは従来型のコンプライアンス・インフラである。中間の2つは、オンチェーンデータが主役を担う領域だ。

1. 登録およびライセンス取得。 顧客にサービスを提供する前に、取引所は管轄当局への登録を完了しなければならない。米国では、FinCENへのマネーサービス業者としての登録および州の資金移動業者ライセンスの取得が必要となる。EUのMiCA規制およびニューヨークのBitLicenseにはそれぞれ独自の認可手続きが存在する。登録なしの営業はそれ自体が違反であり、その後のAML上の問題とは別個のものとして扱われる。2025年7月に署名され、FinCENによる規則制定を経て2027年1月に発効予定のGENIUS法（公法119-27）は、ペイメント・ステーブルコイン発行者を銀行秘密法の適用対象に取り込むため、ステーブルコインのフローを扱う取引所は、発行者と同一のAML規制の枠内に置かれることになる。

2. 顧客デュー・ディリジェンス。 取引所は顧客を特定し、リスクを評価し、リスクの高い取引関係に対しては強化デュー・ディリジェンスを適用しなければならない。本人確認（アイデンティティ検証）はこの柱に含まれる。これは顧客が主張する身元を確認するものであり、トランザクションを参照するものではない。顧客はオンボーディングを通過した後も、ミキサーを経由した資金による入金を送信する可能性がある。それは、身元と資金フローが異なる情報要素だからだ。

3. トランザクション・モニタリング。 取引所は、マネーロンダリングを疑わせるパターンについて継続的な活動を監視しなければならない。暗号資産においては、これは顧客ファイルだけでなく、やり取りするアドレスおよびウォレットに関連するトランザクションをスクリーニングすることを意味する。リスクはオンボーディング後も変化するため、モニタリングは継続的かつリアルタイムで行わなければならない。月曜日にクリアされたアドレスが木曜日には不正活動と結びつく可能性があり、金曜日の入金は3ホップ前まではクリーンだったが起点で汚染された資金を含む可能性がある。

4. 疑わしい取引の報告。 モニタリングがマネーロンダリングまたはテロ資金供与の疑いを示す活動を検知した場合、取引所は報告書を提出しなければならない。米国での提出書類は疑わしい活動報告（SAR）である。他の管轄区域では疑わしい取引報告（STR）と呼ばれる。米国では、SARの提出期限は初回検知から暦日で30日以内（容疑者が特定されていない場合は最大60日）である。他の管轄区域はより厳格で、香港は24時間以内の提出を義務付けている。報告書には審査官を満足させるだけの証拠を含めなければならない。

5. 記録保持。 取引所は、最初の4つの義務を履行したことを証明する記録を保持しなければならない。米国の銀行秘密法の下では、CDDファイル、モニタリングログ、および提出済み報告書を5年間保持することが求められる。審査官は記録の欠落をコントロールの欠如と見なす。保持期間は顧客との関係が終了した後も続くため、ウォレットが消滅してからずっと後まで、ログは監査可能な状態でなければならない。

5つの義務はVASPの視点から見たものである。取引所が何をしなければならないかを記述している。これらは、方針、コンプライアンス担当者の指定、研修、独立した監査、およびCDDプログラム自体をカバーするAMLプログラムの内部的な柱とは異なる。そのプログラム観点は別の機会に取り上げるべき別の問いである。ここでは、取引所が果たさなければならない義務に焦点を絞る。

トランザクション・モニタリングの柱を実装する

5つの義務のうち、トランザクション・モニタリングと疑わしい取引の報告は、銀行向けツールでは読み取れないオンチェーンデータに依存する2つの義務である。Phalcon ComplianceはKYAとKYTによってこの2つの柱をカバーする。CDDの本人確認、登録・ライセンスに関するアドバイス、または記録保持インフラは提供しない。スコープはモニタリングおよびスクリーニング層である。

KYA（Know Your Address）は、ラベル付きアドレスデータベースとその周辺のインタラクション・グラフを用いて、ウォレットアドレスのAML/CFTリスクをスクリーニングする。KYT（Know Your Transaction）は、トランザクション内の各トークン転送をスクリーニングし、入金または出金の方向で資金経路を追跡し、リスクレベルを割り当てる。両者は2つの異なる問いに答える。KYAはそのアドレスが何であるかに答え、KYTはそのトランザクションが何をしているかに答える。

両スクリーニングを支えるリスクエンジンは、制裁対象、テロ資金供与、ミキシング、ランサムウェア、FATFグレーリスト管轄区域など、17のリスク指標を使用する。スクリーニングされたすべてのアドレスまたは転送は、クリティカル、ハイ、ミディアム、ロー、インフォメーショナル、ノーリスクの6段階のリスクレベルのいずれかに分類される。各レベルは設定可能であり、チームは各ティアを自社の方針とリスク許容度に対応付けられる。FATFガイダンスに基づくデフォルトエンジンが標準搭載されており、取引所のリスクベース・アプローチに合わせて編集できる。

スクリーニングが転送に対してフラグを立てると、チームが選択したチャネルを通じてアラートが発火する。アナリストは露出を確認し、スクリーニング時に指定した入金または出金の方向を付記した上で、その転送に関する疑わしい取引報告をエクスポートする。このレポートは主要規制管轄区域に対応しており、直接提出用の管轄区域別テンプレートを通じてエクスポートできる。エクスポートされたSTRは報告の柱の証拠となる。スクリーニングログは記録保持の柱に貢献する。1つのツールで2つの義務が満たされる。

BlockSecがカバーしない3つの柱は、従来型のコンプライアンス・インフラである。取引所は登録を顧問弁護士から、本人確認をCDDベンダーから、記録保持を記録管理システムから調達する。モニタリングと報告の柱こそ、オンチェーン・ネイティブのツールが本領を発揮する領域である。それらの柱が対象とするデータはチェーン上に存在するからだ。取引所のトランザクション・ライフサイクルにおけるKYTの運用ウォークスルーについては、KYTコンプライアンスガイドを参照されたい。

フレームワークから実行へ

定義は出発点であって、目的地ではない。コンプライアンス・チームが5つのVASP義務を名指しできるようになったら、次のステップはそれを実行することだ。そのための2つの道がある。AMLコンプライアンスの完全なフレームワークとモニタリング・ピラーを支えるプラットフォームを読むには、Phalcon Complianceを参照されたい。定義から取引所への導入へと移行するには、暗号資産取引所向けKYTコンプライアンスの実装ガイドに従うとよい。

北米の取引所は、まずFinCEN MSB登録および州の資金移動業者ライセンスの層を検討すべきである。それなしでの営業は独立した違反となるからだ。次にモニタリングと報告の柱が続き、これらはオンチェーンの取引量に応じてスケールする。

→ Phalcon Complianceのデモを予約し、自社の取引所ワークフローでモニタリング・ピラーを稼働させる：デモを予約する

よくある質問

暗号資産取引所のAMLコンプライアンスとは何か？ これは、取引所が継続的に履行しなければならない5つのVASP義務の総体である：登録およびライセンス取得、顧客デュー・ディリジェンス、トランザクション・モニタリング、疑わしい取引の報告、および記録保持。

5つのVASP義務はAMLプログラムの5つの柱と同じか？ 異なる。VASP義務は取引所が何をすべきかを定める。AMLプログラムの柱はコンプライアンス部門をどのように構築するかを定める。本記事は義務を取り上げている。

KYCは独立した義務として数えられるか？ いいえ。本人確認は顧客デュー・ディリジェンスの柱の中のステップである。顧客が誰であるかを確認するものであり、トランザクションをスクリーニングするものではない。

オンチェーン・モニタリングはどの義務をカバーするか？ トランザクション・モニタリングと疑わしい取引の報告である。アドレスおよびトランザクションのスクリーニングはチェーンを読み取り、エクスポートされたSTRが報告書となる。

米国の取引所はAML記録をどれくらいの期間保持しなければならないか？ 銀行秘密法の下で5年間である。保持対象にはCDDファイル、モニタリングログ、および提出済み報告書が含まれる。