コンプライアンス担当者が検索バーにウォレットアドレスを入力し、結果を待っている。そのアドレスは前四半期のバックグラウンドチェックでクリーンだったが、その周辺のカウンターパーティの状況はブロックごとに変化する。担当者が必要としているのは、別のIDファイルではない。資金が移動する前に対応できるよう、アドレス自体のリスク判定を迅速に返してくれるものだ。暗号資産アドレスのリスクスクリーニングとは、まさにその判定を指す。単一のウォレットアドレスを送信すると、システムがラベル付きアドレスデータベースと照合し、固定されたリスク指標のセットに対してマッチングを行い、チームが対応可能なエクスポージャー数値とともにリスクレベルを返す。
暗号資産アドレスのリスクスクリーニングとは何か
暗号資産アドレスのリスクスクリーニングとは、単一のウォレットアドレスに対して行う一回限りのAMLおよびCFTリスク評価のことである。アドレスを送信すると、システムがすべての有効なアドレス型リスクエンジンに対して評価を行い、エクスポージャー数値とともにリスクレベルを返す。スクリーニングは顧客の本人確認を行うものではない。クエリ実行時点のスナップショットとして、アドレス自体のリスクプロファイルを読み取るものである。
キーワードは「一回限り」である。スクリーニングは時点ベースの問いに答える。つまり、「このアドレスのリスクは今現在どの程度か」という問いだ。コンプライアンスチームがスクリーニングを実施するのは、入金が保留中のとき、カウンターパーティが出現したとき、またはアナリストがアドレスをレビューのために引き出すときである。結果は静止画であり、フィードではない。
この点において、スクリーニングはモニタリングとは異なる。スクリーニングは、手動またはAPIクエリによって起動される単一の評価である。モニタリングは継続的だ。アドレスがモニタリング対象に設定されると、システムはダイナミックなスケジュールで分析を再実行し、リスクレベルが変化したり新たなリスク指標がヒットしたりした場合、誰かがアドレスを再送信することなくアラートをプッシュする。スクリーニングはスナップショット、モニタリングはライブフィードである。継続的な側面についての定義の解説は、アドレスベースAMLモニタリングガイドに掲載されている。
スクリーニングは、Know Your Address（KYA）における最小アクション単位である。あらゆる広範なAMLワークフローが構築する原子的なステップだ。コンプライアンスプログラムは数千件のスクリーニングを実行し、リスクの高いものをエスカレートし、一部をモニタリング対象に設定できる。しかしスクリーンが基本単位であり、それを正確に定義することがコントロールスタック全体への入口となる。この義務はFATFリスクベースアプローチの中に位置付けられており、VASPが取引前にリスクを評価することを求めている。アドレススクリーンは、FATF RBA Guidance for VASPsに基づき、ウォレット層でその要件を満たす最小単位である。
スクリーニングの仕組み：4ステップのメカニズム
スクリーニングの行為は4つの順次ステップに分かれており、各ステップは具体的なデータまたは意思決定ノードにマッピングされる。このメカニズムは抽象的なものではない。Phalcon ComplianceのKYA（アドレススクリーニング）モジュールのプロダクトロジックそのものであり、スクリーニングの仕組みを定義することは、プロダクトの仕組みを定義することでもある。
ステップ1はアドレスの入力である。 コンプライアンスアナリストは、アドレスをスクリーニングするアクションを通じて単一のアドレスを送信するか、1ファイルあたり最大100件のアドレスを含むCSVバッチをアップロードする。アドレスは、プロジェクト内のすべての有効なアドレス型リスクエンジンに対して自動的にスクリーニングされる。クエリ時点でエンジンを選択する必要はなく、アドレスはすべての有効セットに対して実行される。
ステップ2はラベルライブラリのマッチングである。 送信されたアドレスは、6億件以上のラベル付きアドレスを保有するBlockSec検証済みアドレスデータベースと照合される。ラベルはシステムが生成し変更不可であり、その検証済みデータベースから取得されるため、アナリストが結果を和らげるためにラベルを手動編集することはできない。ラベルには、既知の取引所ホットウォレットや認識された不正サービスといった内容が記載される場合がある。ラベルと並んで、アドレスにはタグも付与される。制裁対象やミキサーなどのシステムタグは変更不可である。カスタムタグは編集可能で、アドレスごとに合計5タグの上限がある。
ステップ3はリスク指標のヒットである。 リスクエクスポージャーエンジンは、アドレスが17のリスク指標のいずれかに関連しているかどうかを評価する。指標の完全なセット：
-
制裁対象（Sanctioned）
-
攻撃（Attack）
-
詐欺（Scam）
-
ランサムウェア（Ransomware）
-
児童虐待素材（Child Abuse Material）
-
マネーロンダリング（Laundering）
-
ミキシング（Mixing）
-
ダークマーケット（Dark Market）
-
ダークウェブビジネス（Darkweb Business）
-
ブロック済み（Blocked）
-
ギャンブル（Gambling）
-
KYCなし取引所（No KYC Exchange）
-
テロ資金供与（Terrorist Financing）
-
FATFグレーリスト管轄（FATF Grey List Jurisdiction）
-
FATFハイリスク管轄（FATF High Risk Jurisdiction）
-
人身売買（Human Trafficking）
-
麻薬取引（Drug Trafficking）
エンジンは3つのテンプレートを評価する。Entity（アドレス自体のリスクラベル）、Interaction（インタラクショングラフにおける既知のリスクエンティティへのリンク）、Blacklist（ブラックリスト登録アドレスとの直接取引）の3つである。
ステップ4はリスクスコアリングとエクスポージャーの出力である。 アドレスはCriticalを最上位に、High、Medium、Low、Informationalを経てNo Riskに至る6段階のリスクレベルのいずれかに分類される。レベルに加えて、エンジンはExposure Value（エクスポージャー値）を返す。これは、リスクソースに由来するか、またはリスクソースとインタラクションしたことのある資産の合計USD価値である。さらにExposure Percentage（エクスポージャー割合）も返す。これは、アドレスの総流入または流出価値に対する汚染資産の割合である。レベルは深刻度を示し、エクスポージャー数値は規模を示す。
入力からエクスポージャー出力に至るこの4ステップのパイプラインが、実際にアドレスリスクスクリーニングというフレーズが指すものである。同じパイプラインがウォレットスクリーニングワークフロー内でどのように動作するかについては、暗号資産ウォレットスクリーニングのページに運用上のウォークスルーが掲載されている。
リスクレベルと17のリスク指標
スクリーニングの出力は二次元である。一方の軸は深刻度であり、6段階のリスクレベルで表される。もう一方の軸はカテゴリであり、17のリスク指標で表される。この2つを合わせることで、コンプライアンス担当者は「どの程度深刻か」と「どのような種類か」の両方を把握できる。
各リスクレベルのポリシー上の意味は、組織自身が内部のコンプライアンスプログラムとリスク許容度に合わせて設定する。プラットフォームがフレームワークを提供し、チームが閾値を設定する。
17のリスク指標は固定されたカテゴリセットであり、上記のメカニズムセクションで列挙されている。各指標がリスクレベルにどのようにマッピングされるかについての詳細なウォークスルーは、アドレススクリーニングの詳細解説を参照のこと。
標準エンジンの上位に2つのオーバーライドメカニズムが存在する。ブラックリスト登録アドレスは自動的にCriticalリスクに割り当てられ、標準リスクエンジンのスクリーニングをバイパスする。ブラックリスト登録アドレスと直接取引を行うアドレスもCriticalとマークされる。ホワイトリスト登録アドレスは自動的にNo Riskに割り当てられ、同様に標準エンジンをバイパスする。これらのオーバーライドは推奨ルールではなく、ハードオーバーライドである。コンプライアンスチームが既知の問題アドレスまたは既知の安全なアドレスを固定し、通常のルールパスを通じた将来のスクリーニングでそのアドレスが和らげられたりエスカレートされたりしないようにするためのものだ。
スクリーニングから継続的モニタリングへ
定義は入口である。コンプライアンスチームがスクリーンとは何か、4ステップがどのように実行されるか、そして6×17の出力が何を意味するかを正確に把握できれば、次の問いはスナップショットの後に何が起こるかである。今日クリアされたアドレスが来週には不正活動に関連付けられる可能性がある。一回限りのスクリーンではその変化を捉えられない。自然な次のステップは、アドレスをモニタリング対象に設定することだ。システムはその後、ダイナミックなスケジュールで分析を再実行し、リスクレベルが変化したり新たな指標がヒットしたりした場合にチームへアラートを送信する。手動での再クエリは不要だ。北米のコンテキストでは、アドレススクリーニングは、入金がクレジットされる前のウォレット層において、OFACサンクションスクリーニングおよびFinCEN AMLプログラムの要件を満たす最小アクションでもある。
継続的な側面は別の定義であり、モニタリングのウォークスルーで取り上げている。KYAスクリーニングがより広範なAMLおよびCFTコンプライアンススタックにどのように組み込まれるかについての詳細な解説は、Phalcon Complianceハブに掲載されている。
よくある質問
暗号資産アドレスのリスクスクリーニングとモニタリングは同じものですか？
いいえ。スクリーニングは、手動またはAPIクエリによって起動される、単一アドレスに対する一回限りのリスク評価である。モニタリングは継続的だ。有効にすると、システムはダイナミックなスケジュールで分析を再実行し、アドレスを再送信することなくリスクが変化した場合にアラートをプッシュする。
アドレスの最小スクリーニング単位は何ですか？
単一のウォレットアドレスである。アナリストは1件ずつアドレスをスクリーニングすることも、1ファイルあたり最大100件のアドレスを含むCSVバッチをアップロードすることもできる。各アドレスは、プロジェクト内のすべての有効なアドレス型リスクエンジンに対して自動的にスクリーニングされる。
Exposure ValueとExposure Percentageは何を測定しますか？
Exposure Valueは、リスクソースに由来するか、またはリスクソースとインタラクションしたことのある資産の合計USD価値である。Exposure Percentageは、アドレスの総流入または流出価値に対する汚染資産の割合である。前者はエクスポージャーの規模を示し、後者はその割合を示す。
ブラックリストおよびホワイトリストのアドレスはスクリーニングにどのような影響を与えますか？
ブラックリスト登録アドレスは自動的にCriticalリスクに割り当てられ、標準リスクエンジンをバイパスする。ブラックリスト登録アドレスと直接取引を行うアドレスもCriticalとマークされる。ホワイトリスト登録アドレスは自動的にNo Riskに割り当てられ、同様に標準エンジンをバイパスする。いずれも推奨ルールではなく、ハードオーバーライドである。
