暗号資産取引所におけるAMLコンプライアンスとは？VASPの5つの義務

米国取引所のコンプライアンス担当者が審査官からの書面を開封する。指摘事項は毎サイクル繰り返される。モニタリングはオンボーディング時にしか実施されていない。疑わしい取引報告の提出が遅延していた。ライセンス更新は登録の不備により停滞した。暗号資産取引所のAMLコンプライアンスは単一の作業ではない。仮想資産サービスプロバイダー（VASP）が継続的に実施しなければならない5つの義務の積み重ねである。いずれかの層を見落とすと、ライセンス、銀行パートナー、あるいはその両方が圧力にさらされる。

暗号資産取引所にとってAMLコンプライアンスが意味するもの

暗号資産取引所のAMLコンプライアンスとは、VASPが合法的に営業するために満たさなければならないアンチ・マネーロンダリングおよびテロ資金供与対策の義務の総体である。これらの義務はFATF勧告（仮想資産に関するもの）と、米国ではFinCENのマネーサービスビジネス規則によって定められている。取引所はオンボーディング時の顧客確認だけでなく、5つの層すべてに責任を負う。

VASPとは、顧客のために仮想資産を交換・送金・保管するあらゆる事業体に対する規制上のラベルである。取引所はトークンペアを上場した瞬間にそのラベルを付与される。取引所のAML義務は銀行のプログラムの複製ではない。それはオンチェーンのアドレスと、秒単位で、複数のチェーンをまたぎ、しばしばミキサーを経由して移動するトランザクションの上に成り立っている。

この速度が業務の形を変える。銀行は氏名リストと取引相手データベースに照らして送金をスクリーニングする。取引所は3ホップ上流でミキサーを通過した可能性のある入金をスクリーニングし、資金経路を追跡して初めてエクスポージャーが現れる。顧客ファイルはそのシグナルを持っていない。チェーンが持っている。これが、5つの義務のうちのひとつであるトランザクション監視が、同じ速度で対応できる銀行側の同等機能を持たず、チェーン自体を読み込まなければならない理由である。

本稿はフレームワークを定義し、「何をするか」にとどまる。運用上の手順、スクリーニングワークフロー、レポートのエクスポートについては別の実装ガイドに記載している。VASPラベルとその義務を定義するグローバルスタンダードについては、仮想資産に関するFATFガイダンスを参照されたい。

5つの中核的VASP義務の詳細

フレームワークは5つの義務から成る。それぞれFATF勧告と、米国取引所については対応するFinCEN規則に対応している。そのうちのいくつかしかカバーしていないコンプライアンスプログラムは審査に合格しない。最初の2つと最後の1つは伝統的なコンプライアンス基盤である。中間の2つは、オンチェーンデータが主要な役割を担う領域だ。

1. 登録とライセンス。 顧客にサービスを提供する前に、取引所は管轄当局に登録しなければならない。米国ではFinCENへのマネーサービスビジネスとしての登録と、州の送金業者ライセンスの取得が必要となる。EUのMiCA規制とニューヨークのBitLicenseには独自の認可ステップが追加される。登録なしに営業することは、それ自体が違反であり、その後のAML上の失敗とは別個のものである。2025年7月に署名され2027年1月にFinCENの規則制定を条件として発効するGENIUS法（公法119-27）は、ペイメントステーブルコイン発行者を銀行秘密法の適用対象とするため、ステーブルコインのフローを扱う取引所は発行者と同じAML境界の内側に入ることになる。

2. 顧客デューデリジェンス。 取引所は顧客を識別し、リスクを評価し、リスクの高い関係には強化されたデューデリジェンスを適用しなければならない。本人確認はこの柱の中に位置する。それは顧客が主張する人物であることを確認するものだ。トランザクションを確認するものではない。顧客はオンボーディングに合格した後でも、ミキサーを出所とする資金を含む入金を送付できる。なぜなら、本人確認と資金フローは別個のものだからだ。

3. トランザクション監視。 取引所は不審なパターンを検知するために継続的に活動を監視しなければならない。暗号資産においてこれは、顧客ファイルだけでなく、取引所が関わるアドレスとウォレットに触れるトランザクションをスクリーニングすることを意味する。リスクはオンボーディング後に変化するため、監視はリアルタイムかつ継続的でなければならない。月曜日にクリアとされたアドレスが木曜日には不正活動に関連付けられる可能性があり、金曜日の入金は3ホップ前には清潔で発生源で汚染された資金を含む可能性がある。

4. 疑わしい取引報告。 監視がマネーロンダリングやテロ資金供与の疑いがある活動にフラグを立てた場合、取引所は報告書を提出しなければならない。米国では提出物は疑わしい活動報告書（SAR）である。他の法域では疑わしい取引報告（STR）と呼ばれる。米国では、SARの提出期限は最初の検知から30暦日（容疑者が特定されていない場合は最大60日）である。他の法域はより厳しく、香港では24時間以内の提出が求められる。報告書は審査官を納得させるに足る証拠を含んでいなければならない。

5. 記録保持。 取引所は最初の4つの義務を実施したことを証明する記録を保存しなければならない。米国の銀行秘密法の下では、CDD資料、監視ログ、提出済み報告書を5年間保管することが求められる。審査官は記録の欠落を管理の欠落とみなす。保存期間は顧客関係の終了後も続くため、ウォレットが消えた後も長くログが監査可能でなければならない。

5つの義務はVASPの視点である。取引所が何をしなければならないかを記述している。これらはAMLプログラムの内部的な柱とは異なる。内部的な柱は、ポリシー、指定コンプライアンス担当者、トレーニング、独立した監査、CDDプログラム自体をカバーする。そのプログラム視点の問いは別の機会に読むべき別の問題だ。ここでは取引所が果たさなければならない義務にレンズを向け続ける。

トランザクション監視の柱を実装する

5つの義務のうち、トランザクション監視と疑わしい取引報告の2つは、取引所が銀行ツールでは読み取れないオンチェーンデータに依存している。Phalcon ComplianceはKYAとKYTによってこの2つの柱をカバーする。CDDの本人確認、登録・ライセンスのアドバイス、記録保持インフラは提供しない。スコープは監視とスクリーニングの層だ。

KYA（Know Your Address）は、ラベル付きアドレスデータベースとその周辺のインタラクショングラフを使用して、ウォレットアドレスのAMLおよびCFTリスクをスクリーニングする。KYT（Know Your Transaction）は、トランザクション内の各トークン転送をスクリーニングし、入金または出金の方向で資金経路を追跡し、リスクレベルを割り当てる。両者は異なる2つの問いに答える。KYAはそのアドレスが何であるかに答える。KYTはそのトランザクションが何をするかに答える。

両者のスクリーニングを支えるリスクエンジンは、制裁対象やテロ資金供与からミキシング、ランサムウェア、FATFグレーリスト法域まで17のリスク指標を使用する。スクリーニングされたすべてのアドレスまたは転送は、クリティカル、高、中、低、情報提供、リスクなしの6つのリスクレベルのいずれかに分類される。レベルは設定可能であるため、チームは各ティアを自社の内部ポリシーとリスク許容度にマッピングできる。FATFガイダンスに基づくデフォルトエンジンがそのまま利用可能で、取引所のリスクベースのアプローチに合わせて編集することもできる。

スクリーニングが転送にフラグを立てると、チームが選択したチャネルを通じてアラートが発動する。アナリストはエクスポージャーを確認し、スクリーニング時に指定された入金または出金の方向を含む疑わしい取引報告をエクスポートする。その報告書は主要な規制法域に準拠しており、直接提出のために地域固有のテンプレートでエクスポートできる。エクスポートされたSTRが報告義務の証拠となる。スクリーニングログが記録保持の柱にフィードされる。1つのツールで2つの義務を完結できる。

BlockSecがカバーしない3つの柱は伝統的なコンプライアンス基盤である。取引所は登録を顧問弁護士から、本人確認をCDDベンダーから、記録保持を記録管理システムから調達する。監視と報告の柱こそがオンチェーンネイティブのツールが真価を発揮する領域であり、それらの柱が対処しなければならないデータはチェーン上に存在するからだ。取引所のトランザクションライフサイクル全体でKYTがどのように機能するかについての運用ガイドは、KYTコンプライアンスガイドを参照されたい。

フレームワークから実践へ

定義は出発点であり、終着点ではない。コンプライアンスチームが5つのVASP義務を名指しできるようになったら、次のステップはそれを実行することだ。2つの経路が役立つ。AMLコンプライアンスフレームワーク全体と監視の柱を支えるプラットフォームについては、Phalcon Complianceを訪問されたい。定義から取引所での展開へと移行するには、暗号資産取引所向けKYTコンプライアンスの実装ガイドに従われたい。

北米の取引所はまずFinCEN MSB登録と州の送金業者ライセンスの層を検討すべきである。登録なしの営業はそれ自体が単独の違反となるからだ。監視と報告の柱はその次に来るものであり、オンチェーンのボリュームとともにスケールする。

よくある質問

暗号資産取引所にとってAMLコンプライアンスとは何か？ それは取引所が継続的に実施しなければならない5つのVASP義務の総体である。すなわち、登録とライセンス、顧客デューデリジェンス、トランザクション監視、疑わしい取引報告、記録保持だ。

5つのVASP義務はAMLプログラムの5つの柱と同じか？ いいえ。VASP義務は取引所が何をしなければならないかを示す。AMLプログラムの柱はコンプライアンス部門がどのように構築されているかを示す。本稿は義務についてのものである。

KYCは別個の義務として数えられるか？ いいえ。本人確認は顧客デューデリジェンスの柱の中のステップである。それは顧客が誰であるかを確認するものだ。トランザクションをスクリーニングするものではない。

オンチェーン監視はどの義務をカバーするか？ トランザクション監視と疑わしい取引報告。アドレスとトランザクションのスクリーニングはチェーンを読み込み、エクスポートされたSTRが報告書となる。

米国の取引所はAML記録をどのくらいの期間保存しなければならないか？ 銀行秘密法の下で5年間。保存対象にはCDD資料、監視ログ、提出済み報告書が含まれる。