KU Leuven研究:Bitcoin(BTC)ウォレット36個が取引前にユーザーデータを漏えい

KU Leuven研究が36ウォレットを特定

Bitcoin(BTC)での支払いは、請求書に記された金額以上の情報を暴露し得る。しかも漏えいは、トランザクションに署名する前から始まっている。取引先への支払いに使い回したウォレットアドレスからは、相手方・金額・タイミングがブロックエクスプローラーを見れば誰にでも分かるが、新たな研究は漏えいがさらに手前の段階で起きていることを示した。2026年7月、KU Leuven大学DistriNet研究グループの調査チームは、最も広く使われているブラウザ拡張型ウォレット85種——Chromeウェブストアでの合計インストール数は約3,500万——を検証し、ウォレット自体がユーザーを指紋特定・追跡できるだけのデータを外部に送信していると結論付けた。悪用(エクスプロイト)は一切絡まない。拡張機能が残高表示のために外部サーバーに接続する際、そのリクエストにウォレットアドレスが平文で含まれており、ソフトウェアが設計どおりに動作しているだけで漏れてしまうのだ。サンプル全体のうち、このフィンガープリント弱点に該当するのは36ウォレットで、調査対象インストール数の約82%を占める。このサブグループの中では、17ウォレット(約2,300万インストール)が同一ユーザーに属する別アドレス同士の関連性も暴露できた。さらに36ウォレットのうち22は、ユーザーがアクセス権を取り消してブラウザを再起動した後もアドレスを送信し続け、23はクリック一回もなしに第三者コンテンツ経由でアドレスをWebサイトへ渡せた。ベンダーの対応も分かれた。Coinbase Wallet、Coin98、Hanaは修正に動いた一方、MetaMask、Rabby、OKXは対応しなかった。テストした分散型アプリ(dApp)30のうち、ログアウト時にウォレット接続を適切に解除できたのはわずか11だった。戦略的Bitcoin準備(Strategic Bitcoin Reserve)の構築や日常的な仕入先への支払いを検討する企業にとって、この署名前メタデータは常時存在する開示リスクと言える。資産の基礎知識は「What is Bitcoin (BTC)」ガイドに、関連報道はBitcoin tag hubにまとまっている。

クラスタリング、KYC、Helix台帳

アドレスが一度姿を現せば、公開チェーンが残りのプロファイルを埋める。ブロックチェーン解析企業は、互いに繰り返し送受信したり挙動が似たりするウォレットをパターンとして検出し、単一の所有者のもとにクラスタリングする。したがって、1つのアドレスが特定されれば多数のアドレスが連座し得る。規模は産業レベルだ。2026年半ばまでにChainalysisは、10億超のブロックチェーンアドレスを134,000超の特定済みエンティティに分類したと発表している。ブリッジを経由した資金移動や分散型取引所でのスワップも追跡を断ち切れない。すべてのスワップはオンチェーンに公開記録として刻まれるからだ。捜査機関がこの手法の行き着く先を繰り返し実証してきた。2021年のColonial Pipelineランサムウェア攻撃では、米当局が複数のウォレットを経由するBitcoinを追跡し、440万ドルの身代金のうち約230万ドルを回収した。ミキサーも無傷では済まなかった。Larry Dean Harmonは2014年から2017年まで、ダークネットマーケットで人気のタンブラー「Helix」を運営し、約354,468 BTC(当時約3億1,100万ドル)がここを通過した。彼はスワップごとに2.5%の手数料を請求したが、その手数料も他のコインと同様にオンチェーンに記録され、足跡を消すために作られたサービスの運営者を恒久的に特定してしまった。最後のピースは本人特定だ。追跡された資金が規制対象の取引所に触れれば、KYC記録がウォレットと氏名を結び付け、先行するクラスタリングがその氏名をアドレス群全体へ拡張する。企業も寄付ページやプロフィールにアドレスを公開しており、何年分のタイムスタンプ付き履歴が露出する。解析が絶対無謬ではない点も押さえておきたい。パターンは誤検出を生み、あるP2P購入者は自分が保有する前にミキサーを通過したコインを理由に口座を凍結された事例が記録されている。2025年初頭にはChainalysisが北朝鮮による窃取額の推計を10億ドルから6億6,050万ドルへ引き下げた。Bitcoin FogやTornado Cashの裁判では、弁護団が外部から検証できない独自ツールの結論に異議を唱えており、米政府の主要請負業者であるChainalysisは連邦契約で9,320万ドル超を受領している。違法フローを検出するのと同じクラスタリングの論理は、クジラ(whale)からBTCで支払う一般企業まで、あらゆる大量保有者を改変不可能なプルーフ・オブ・ワーク台帳上に描き出す。

プライバシーはいまやトレジャリーリスク

COINOTAGの読みでは、両者の知見は一連の弧を描く。Bitcoinの透明性はプロトコル層では機能だが、ビジネス層では負債になる。ウォレット調査の一次資料であるKU Leuvenの研究論文は、テストした85拡張のうち36が署名前に識別データを漏らすと明記しており、その後オンチェーンのクラスタリングとKYCがプロファイルを完成させる。司法現場への浸透ぶりは、Celsius遺産管財人のBitMEX訴訟のような法廷闘争にも表れている。BTCを扱う企業は、アドレスの衛生管理を任意の追加施策ではなく運用セキュリティとして扱うべきだろう。