ノンカストディアルウォレット規制は出入口に掛かる 日本の26年改正も義務は交換業者に置いた

ノンカストディアルウォレット(non-custodial wallet)の扱いは、暗号資産規制の10年来の争点でした。米財務省は2020年に取引の届出義務を提案し[12]、EUでは本人確認の義務化が審議されました。2026年8月時点の到達点は明快です。保有そのものは規制せず、交換業者など金融システムとの出入口に義務を掛ける——。海外の議論では、この出入口は法定通貨との「オン/オフランプ」と呼ばれます。日本の2026年改正金融商品取引法[1][2]、EUの1,000ユーロ基準[10]、FATF(金融活動作業部会)の勧告[9]は、いずれもこの構図に収斂しています。本稿は日本と世界の規制的な議論を論点別に整理し、スマートコントラクトという技術的性質に踏み込んだ議論を特筆します。

ノンカストディアルウォレットとは、暗号資産を動かす権限である秘密鍵(資産の移転を承認する暗号学的な鍵)を利用者自身が保管し、事業者が資産に触れられないウォレットです。交換業者が鍵を預かるカストディアルウォレットと対をなし、規制の文脈ではアンホステッド・ウォレット、セルフホスト型ウォレットとも呼ばれます。ソフトウェアは無料で配布されており、口座開設のような審査はありません。

既存金融でこれに最も近いのは現金です。金融の業規制は伝統的に「他人の資産を預かる」行為に掛かります。日本の資金決済法も、暗号資産交換業の定義に「他人のために暗号資産の管理をすること」を含め、鍵を預かるカストディ業務を登録制にしています[27]。裏返せば、鍵を預からないウォレットソフトの提供は交換業に当たらず、自宅の金庫で現金を保管する行為に規制がないのと同じ扱いです。規制の議論はすべて、この「預かりの不在」から出発します(図1)。

現金の規制と並べると、ウォレット規制の設計は読み解きやすくなります。現金は保有も個人間の受け渡しも自由で匿名ですが、金融システムとの出入口には義務があります。犯罪収益移転防止法は200万円を超える現金の受払いに取引時確認(本人確認)を求め[26]、外国為替及び外国貿易法は100万円相当額を超える現金等の携帯輸出入に税関への申告を義務付けています[25]。ノンカストディアルウォレットの規制も同じ場所に義務を置いています。日本の交換業者には口座開設時の本人確認と送付時の通知義務(トラベルルール)が掛かり[8]、EUでは1,000ユーロを超える自己管理ウォレット宛ての送金で所有者の確認が要求されます[10]。

自己保管できるデジタル資産の規模は、すでに現金流通残高と同じ物差しで語れる水準にあります(表2)。日本銀行券の発行高は約115兆円です(2026年7月平均残高)[3]。対して、ノンカストディアルウォレットで保有・送金できる代表的資産である米ドル建てステーブルコインの流通額は約49兆円(3,098億米ドル、2026年8月25日時点)で、日銀券の4割強に相当します[4]。ウォレットから直接利用するDeFi(分散型金融)の預かり資産は約14兆円(888億米ドル、同日時点)です[5]。もっとも、ステーブルコインの流通額には交換業者が預かる分も含まれており、自己保管分だけを切り出した統計は存在しません。この「切り出せない」こと自体が、後述する規制上の論点になっています。

現金と決定的に違うのは追跡可能性で、規制議論の前提データの精度が両者で逆転しています。現金の資金洗浄は事後推計しかできず、国連薬物犯罪事務所(UNODC)の推計は「世界のGDPの2〜5%、約130兆〜320兆円(8,000億〜2兆米ドル)」という幅でしか示せません[6]。一方、ブロックチェーンは取引が全件公開されるため、分析会社Chainalysis(チェイナリシス)は2025年の不正関連アドレスの受領額を約24.5兆円(1,540億米ドル)と測定し、帰属を特定できた取引量全体に占める比率を1%未満と算出しています[7]。出入口で書類を集めるしかない現金と異なり、台帳自体が監査証跡になる——この非対称が、ウォレットの一律禁止に向かわず出入口で捕捉するという設計を支えています。

日本の制度は一貫して、義務の名宛人を交換業者に置いてきました。第一段が2023年6月施行のトラベルルールです。犯罪収益移転防止法の改正により、交換業者は暗号資産の送付時に依頼人・受取人の情報を相手方の業者へ通知する義務を負いました[8]。通知は業者間の仕組みであるため、通知の相手がいないアンホステッド・ウォレット宛ての送付には通知義務が掛かりません。代わりに同改正は、交換業者がアンホステッド・ウォレット等と取引を行う際に取引時確認等を的確に行うための措置を講じることを定めました[8]。

第二段が2026年の法改正です。金融審議会「暗号資産制度に関するワーキング・グループ」は2025年12月10日の報告で、暗号資産規制を資金決済法から金融商品取引法へ移すことを提言し[1]、これを受けた改正法が2026年7月15日に成立、7月23日に公布されました(令和8年法律第64号)[2]。同報告はアンホステッド・ウォレットについて、保有や利用の制限には踏み込まず、交換業者に対し「利用者がアンホステッド・ウォレットや無登録業者のウォレットに暗号資産を移転する場合に、詐欺的事案の可能性に関する警告や移転目的の確認、取引モニタリングの適切な実施、新規口座開設直後及び新規ウォレット先への移転について一定の熟慮期間を設ける」対応を法令上の義務として求めることが適当としました[1]。念頭にあるのは詐欺的な投資勧誘の支払手段としての悪用防止です。ここでも義務の名宛人は交換業者であり、ウォレットの利用者でも開発者でもありません。

資金フローの面では、当局が見えるのは出入口までという限界がはっきりしています。交換業者からアンホステッド・ウォレットへの出金は業者の記録で捕捉できますが、その先の個人間(P2P)送金は登録業者を経由しません。FATFの2026年調査では、P2P取引を資金洗浄などの高リスクと見なす法域が回答の88%に上る一方、その規模を評価する市場データを十分に収集できている法域は23%にとどまりました[9]。日本の制度設計も、この計測の空白を前提に、見える場所(出入口)の義務を厚くする方向を取っています。なお、ステーブルコイン(電子決済手段)は暗号資産とは別の枠組みで規制されており、国内の発行と流通の制度は別稿「ステーブルコイン決済は日本でも広がり始めた」で解説しています。

米国は、規制強化案の撤回から権利の明文化へと振り子が動いた10年でした。米財務省金融犯罪取締ネットワーク(FinCEN)は2020年12月、銀行と送金業者に対し、アンホステッド・ウォレットが関わる取引について1万米ドル(約160万円)超の届出と3,000米ドル(約48万円)超の記録・本人確認を求める規則を提案しましたが[12]、業界の反対を受けて2024年4月に撤回しました[13]。DeFiのフロントエンド(利用画面)提供者を税務報告義務のある「ブローカー」とする内国歳入庁(IRS)の規則も、2025年4月に議会審査法に基づく無効化決議が大統領署名で成立し、同種の再規則化も封じられました[16]。市場構造法案CLARITY法案(Digital Asset Market Clarity Act)は、利用者が自己管理する能力を連邦機関が制限することを禁じる規定と、資産を管理しない開発者や自己管理ツールの提供者を送金業者として扱わない規定を含み、2025年7月17日に下院を294対134で可決[14]、2026年5月14日に上院銀行委員会を15対9で通過しました[15]。2026年8月の休会前に上院本会議での採決はなく、成立は未定です(2026年8月25日時点)。

EUは、禁止でも放任でもなく金額基準で出入口の義務を切り分けました。2023年4月20日に欧州議会が可決した資金移転規則(TFR)の改正は、暗号資産にトラベルルールを適用するとともに、自己管理ウォレット(セルフホステッド・ウォレット)が事業者管理のウォレットとやり取りする場合、1,000ユーロ超の送金で顧客がそのウォレットを保有・支配しているかの確認を事業者に義務付けました[10][29]。同時に「事業者を介さない個人間の移転には適用しない」ことを明記しています[10]。2024年5月に採択された資金洗浄対策規則(AMLR)は、2027年7月から金融機関と暗号資産サービス業者(CASP)による匿名口座の維持や匿名性強化コインの取扱いを禁じますが、義務の名宛人はあくまで事業者です[11][28]。

国際基準の実装は進みましたが、まだ道半ばです。FATFは暗号資産に関する勧告15の実施状況を毎年点検しており、2026年7月の第7次報告では、調査対象法域の83%(109法域中91)がトラベルルールの法制化を終え、前年の73%から上昇しました[9]。一方で勧告15への「概ね遵守」評価は34%にとどまり、同報告は優先課題としてステーブルコイン、オフショア業者、アンホステッド・ウォレット、DeFiから生じるリスクへの対応を挙げています[9]。法域間の足並みの差は、義務のない法域の業者やP2P送金へ取引が逃げる余地を残します(図2)。

規制は名宛人となる人や法人の存在を前提としますが、スマートコントラクト(分散台帳上で自動的に実行されるプログラム)は、いったん設置されると誰の関与もなく動き続けられます。ノンカストディアルウォレットの規制論が単なる本人確認の議論を超えるのはここです。ウォレットが接続する先のDEX(分散型取引所)やミキシングサービスには、義務を課すべき「事業者」が存在しないことがあるためです。この技術的性質に、各法域の当局と裁判所が正面から向き合い始めています。

国際基準は「コードではなく、コードを支配する者」を名宛人にする整理を先に示しました。FATFの2021年改訂ガイダンスは、DeFiアプリケーション(ソフトウェアそのもの)はFATF基準上のVASP(暗号資産サービス提供者)ではないと明言したうえで、その仕組みに対する支配や十分な影響力を維持する創設者・所有者・運営者は、外形上分散していてもVASPに該当しうるとしました[22]。手数料を受け取っているか、パラメータを変更できるかといった「支配」の指標で名宛人を探す考え方です。EUの暗号資産市場規則(MiCA)も、仲介者なしに完全に分散化された形で提供されるサービスを適用範囲外とする整理を前文に置いています[23]。

米国では、この整理が司法判断として確定する事件がありました。財務省外国資産管理室(OFAC)は2022年8月、ミキシングサービス(送金元と送金先の対応関係を分からなくする仕組み)のTornado Cash(トルネード・キャッシュ)を制裁対象に指定し、そのスマートコントラクトを「財産」として封鎖しました。第五巡回区控訴裁判所は2024年11月26日、誰にも所有・管理・変更できない不変(immutable)のスマートコントラクトは国際緊急経済権限法上の「財産」に当たらず、OFACは法定権限を逸脱したと判示しました[17]。管理者権限が残り変更可能(mutable)なコントラクトと、権限が放棄され不変になったコントラクトを区別し、後者は封鎖の対象になり得ないとした点で、技術的性質が法的結論を直接左右した初の連邦控訴審判断です。財務省は2025年3月21日に制裁指定を解除しました[18]。

コードが規制できないなら、書いた人はどうか——。この問いは刑事裁判で争われています。Tornado Cash共同創設者ローマン・ストーム(Roman Storm)被告に対し、ニューヨーク南部地区連邦地裁の陪審は2025年8月、無許可送金業運営の共謀について有罪評決を出しました[20]。米メディアCoinDeskの報道によると、陪審は資金洗浄共謀と制裁違反共謀の2訴因では評決に至らず、検察はこの2訴因について2026年10月の再審理を請求しています[21]。司法省は2025年4月7日の方針メモで、交換業者・ミキシングサービス・オフラインウォレットをその利用者の行為を理由に標的としない方針を示しており[19]、鍵を預からない開発者の刑事責任の線引きは米国でもなお係争中です。

日本の議論も、早い段階から同じ性質を指摘していました。金融庁の研究会が2021年11月にまとめた中間論点整理は、パーミッションレス型分散台帳の課題として「システム全体に責任を負う者が不明確」であること、不適切と判明した取引も「自動的に執行され、事後的な取消し等が困難」であること、現金のような持ち運びの物理的制約がないためP2P取引に資金洗浄対策上の課題があることを挙げています[24]。2025年12月のワーキング・グループ報告はこれをDEXの規制論として引き取り、DEXは利用者同士がスマートコントラクトを通じて自律的に交換を実行し、開発後は「人為的要素が少ない」ため、既存の交換業規制をそのまま当てはめず、「技術的性質に合わせた過不足のない規制のあり方」を継続検討するとしました[1]。当面の対応として挙げられたのが、DEXに接続するUI(ユーザー・インターフェース)を国内向けに提供する者への説明義務や本人確認義務です[1]。

各法域の議論を並べると、規制の対象は3つの層に分解されつつあります。第一にコードそのものは名宛人にしない(FATFガイダンス、米控訴審判決、MiCA)。第二にコードへの支配や影響力を持つ者は名宛人になりうる(FATFの支配基準、米CLARITY法案の「管理しない開発者」の裏返し)。第三に義務を実際に課す場所は利用者との出入口、すなわち交換業者やUI提供者に置く(日本のワーキング・グループ報告、EUの1,000ユーロ基準)。名宛人の不在という難問に対し、日米欧と国際基準が異なる法体系から同じ構造の答えに近づいていることは、この分野では珍しい収斂です。

規制の外側に置かれたまま、ノンカストディアルウォレットは実務の前提インフラとして定着しています。代表的な利用場面は次の3つです。

• DeFiの利用。貸借や交換のプロトコルはウォレットの直接接続を前提に設計されており、預かり資産約14兆円(888億米ドル、2026年8月25日時点)の入口はノンカストディアルウォレットです[5]。機関投資家向けに本人確認を組み込んだ許可制の形態は、別稿「機関投資家向けDeFiが2度目の挑戦に入った」で解説しています
• ステーブルコインの保有と送金。流通額約49兆円(3,098億米ドル、同日時点)のステーブルコインは、交換業者の口座がなくてもウォレット間で直接移転でき、銀行網が細い地域への送金や企業間決済の受け皿になっています[4]
• 資産の自己保管。交換業者の破綻やハッキングから資産を切り離す保管手段として使われます。事業者を信頼する代わりに、秘密鍵の管理責任を利用者自身が負う選択です

悪用の金額は急増しており、規制強化論の根拠であり続けています。Chainalysisの集計では、2025年に不正関連アドレスが受領した暗号資産は約24.5兆円(1,540億米ドル)と前年比162%増で、制裁対象主体の受領額が694%増と急伸したことが主因です[7]。不正取引の84%はステーブルコインで行われています[7]。帰属を特定できた取引量全体に占める比率は1%未満にとどまるものの[7]、金額の絶対水準が切り上がったことは、出入口の規制だけで足りるのかという問いを各法域に突き付けています。

計測の空白も残ります。前述のとおり、P2P取引を高リスク視する法域が88%に上る一方、規模を測るデータを十分に収集できている法域は23%です[9]。出入口の規制は「見える場所」を厚くする設計であるため、見えない場所の規模が測れないことは構造的な限界です。

利用者保護の仕組みが及ばないことも明確な限界です。交換業者には分別管理や弁済原資の確保が義務付けられますが、自己保管にはありません。秘密鍵を失えば資産は永久に動かせず、誤ったアドレスへの送付も取り戻せません。金融審議会のワーキング・グループ報告も、利用者への啓発事項として「誤ったアドレスへ移転するなど、利用者が操作を誤ると取り戻すことができないリスク」を挙げています[1]。また、開発者責任の司法判断(2026年10月に再審理請求[21])や米上院での法案審議[15]、EUのAMLR実装(2027年7月)[11][28]など、本稿で整理した論点の多くはなお動いており、規制の予見可能性自体が事業上のリスクです。

• 日本の2026年改正金商法、EUの1,000ユーロ基準、FATF調査対象の83%が法制化したトラベルルールは、いずれもノンカストディアルウォレットの保有ではなく交換業者など出入口に義務を置く。現金規制と同じ構図に各法域が収斂した
• スマートコントラクトそのものは名宛人にしない整理が、FATFガイダンス、不変のコードは「財産」でないとした米控訴審判決、日本のワーキング・グループ報告に共通する。義務は「コードを支配する者」と「出入口」へ向かう
• 現金と違い、台帳上の取引は全件公開される。推計幅がGDP比2〜5%に及ぶ現金の資金洗浄と異なり、オンチェーンの不正は約24.5兆円・比率1%未満と測定できる。この検証可能性が、禁止ではなく出入口で規制するという設計を支えている