X Money、ニューヨークで3,000ドル入金に300ドルボーナスへ—Bitcoin (BTC)決済推進はNYDFSの規制の壁に直面

NYDFS、X Money残高への利払いを停止させる

X Moneyは、ニューヨーク州金融サービス局(NYDFS)が今週、Elon Musk氏の決済部門に対し、非銀行口座で保有する残高に銀行口座型の利息を払い続けることはできないと通知したことを受け、ニューヨークのユーザー向けに利息を一回限りの支払いへと置き換えた。この介入の対象となったのは、顧客から見ればあらゆる面で当座預金口座のように振る舞いながら、法制度上は銀行システムの外側に置かれている商品だ。X Moneyはニューヨークでは銀行口座を提供していない。顧客は代わりに、同社が「stored value account(価値保存口座)」と呼ぶ口座に資金を保有し、「利回りを得られる」場所として、キャッシュバック、送金、小切手の郵送、請求書の支払い、無料のATM出金に加え、「FDICカバレッジで保護されている」と謳って販売されている。しかし細部は異なる物語を語る。口座規約には「X Paymentsは銀行ではなく、FDICの保険対象ではなく、預金を取り扱わない」と明記されている。にもかかわらず、私たちがX Moneyのホームページを確認したところ、「deposits(預金)」という言葉が16回使われていた。この区別は重要だ。価値保存口座には銀行預金に付随する消費者保護が一切なく、FDICカバレッジに関する宣伝文句はその線を曖昧にするリスクを抱えている。ライセンスの記録も同様に明確だ。NYDFSはX Payments LLCを送金業者――公衆のために資金を移動させる事業体であり、預金取扱機関ではない――として承認し、7月23日に発効、ライセンス番号MT-105532は7月24日に発行された。同社自身のライセンスページもたった一行で「X Payments LLC is not a bank(X Payments LLCは銀行ではない)」と認めている。ニューヨークのユーザーが資金を引き出すのを防ぐため、X Moneyは支払い構造を組み替えた。残高は9月30日まで「利息を得られる」状態で、10月1日以降は代わりに「300ドルのボーナス」を獲得できる。これは3,000ドルの要件を満たす入金から14日以内に付与される。 公式の直接入金ボーナスページ は、この支払いが「APYまたは利息を構成するものではない」と繰り返し強調している。名前を変えれば、実質的につなぎの補償だ。

パスワードリセットの大量送信がXユーザーを狙う

セキュリティが2つ目の圧迫要因だ。複数の地域のXユーザーが8月に心当たりのないパスワードリセットメールの受信を報告し始め、9月1日に報告が急増した。メール自体は本物で、Xのシステムから発信されているが、口座保有者はリセットを要求していない。同社は調査を進めていると説明する。考えられる仕組みはローテクだ。ユーザー名が公開されているため、攻撃者は任意のハンドルに対してパスワード忘れフォームを繰り返し送信し、好きなタイミングでリセットメールをトリガーできる。 Xのプラットフォーム自体の情報漏洩の証拠はまだなく、口座乗っ取りの確認された波も発生していない。だがこの手法は「偵察」として機能する。防御の弱い口座を特定し、より狙いを絞った攻撃に備えるための地図を作るのだ。Xのガイダンスは、心当たりのないリセットメール内のリンクを無視し、公式アプリまたはウェブサイトを通じてのみ口座の状態を確認した上で、パスワードリセット保護、二要素認証、パスキーで口座を強化することだ。Xが金融の場として成熟するにつれ、リスクの大きさは増していく。Uberのようなサービスがかつて複数の機能を束ねようとした試みに続き、ソーシャルプラットフォームの上に決済や金融サービスを重ねる「オールインワンアプリ」の型では、乗っ取られたソーシャルアカウントはもはや単なるフィードの乗っ取りでは済まない。同じログインが送金や残高保存、請求書支払いも制御するなら、認証情報の偵察は金融窃盗の未遂となる。rug pull時代に暗号資産ユーザーがすでに知っている詐欺の手口が、口座レベルの攻撃へと移行しつつある。Xの決済・投資機能がまだ始動していない日本のような市場では、今回のリセットの波は「予行演習」だ。ユーザーは金融グレードの商品が届く前に、金融グレードのリスクを背負い込むことになる。 ブロックチェーンドメイン 上に構築された分散型IDや、Bitcoin Cashのようなピアツーピアの暗号資産レールは、中央集権的なリセットの入り口を完全に排除できる――ただし、その代償として復旧の責任はユーザー自身に移る。 市場をリアルタイムで追いたい読者は、Binanceで現物・先物価格をライブで確認できる。

一つの境界線、二つの警告

NYDFSの命令とリセットの大量送信を並べて読むと、同じ断層線を両側から描いた絵になる。一次資料――X Payments自身のライセンス開示MT-105532と、価値保存口座の規約――を読み込んだ私たちの確認では、同社自身が「銀行ではなく、預金を取り扱わない」と明言しており、規制当局は新しいルールを作ったのではなく、既存の規制境界線を適用したにすぎない。一方、リセットのキャンペーンは、ユーザー名が公開されているとき、その境界線がどれほど安価に偵察できるかを示した。Xの暗号資産時代の決済推進、Bitcoinからプライバシー特化のZcashに至るまでを前に、オールインワンアプリ型ウォレットと自己管理資産のどちらを選ぶかを考えるユーザーにとって、トレードオフは今や明白だ。利便性か、統制か。