「Moneroは完全に追跡不可能」は2026年時点で正確か？

「XMRを使えば誰にも追跡されない」——そう信じてMoneroを選んだ人は少なくないだろう。リング署名、ステルスアドレス、RingCT。技術的な仕組みを聞けば確かに魅力的に見える。

だが2024年から2025年にかけて、いくつかの研究と流出した内部資料が、その「完全な匿名性」という前提に疑問を投げかけている。問題は「Moneroが追跡される」のではなく、「どの条件下で、どの程度追跡されうるのか」をきちんと理解しているかどうかだ。

2024〜2026年で判明した新しい追跡手法の全体像

現時点で確認されている主要な追跡手法は3つある。

  • ネットワーク層の盗聴：悪意あるノードによるIPアドレスとタイムスタンプの収集（後述のChainalysis手法）
  • 統計的リング署名解析：機械学習や確率モデルを使って「本物のコイン」を絞り込む手法（70〜85%の特定率）
  • 取引所KYCとのチェーン連結：CEXで購入→オンチェーンで移動した場合、出口点から逆算される手法

いずれも「Moneroが完全に破られた」ことを意味するわけではない。しかし「何も気にしなくていい」という時代でもない。

それでもMoneroが最善のプライバシーコインである理由

比較対象を考えると話は明快だ。BitcoinやEthereumは、送受信アドレスがすべてパブリックチェーン上に晒されている。Moneroの匿名性に穴があるとしても、それはBTCやETHの「ゼロプライバシー」と比較すれば遥かにましだ。

Zcashはオプトインのシールドトランザクションで、実際にプライバシー機能を使っているユーザーは少数派。Moneroはデフォルトでプライバシーが有効という設計上の優位性がある。実際のオンチェーンデータを見ると、ZcashのシールドTX比率は長らく数十%台に留まっており、匿名集合の実効的なサイズはMoneroより小さい。

「完璧ではないが、現時点で最善の選択肢」——これが2026年時点でのMoneroに対する正直な評価だ。

Chainalysis流出動画が明かした実態（2024年）

2024年9月、Cointelegraphが報じた流出動画が暗号通貨コミュニティに波紋を呼んだ。Chainalysisの内部プレゼンテーションとされるその動画には、XMRトランザクションのIPアドレス追跡手法が具体的に示されていた。Chainalysis側は動画の真正性を明確に否定しなかったことで、コミュニティ内での議論はさらに加熱した。

悪意のあるMoneroノードがIPアドレスとリング署名データをキャプチャするネットワーク図
悪意のあるMoneroノードによるIP・タイムスタンプ追跡の仕組み

悪意あるノードによるIPアドレス＋タイムスタンプ収集の仕組み

Moneroのネットワークは、トランザクションをブロードキャストする際にP2Pネットワークを使用する。この仕組み自体はBitcoinと同様だが、問題は「悪意あるノードを多数配備することで、最初にトランザクションを受信したノードを特定できる」という点だ。

具体的には次のように機能する。

  1. 攻撃者がMoneroネットワーク上に多数のノードを配備する
  2. 特定のトランザクションがブロードキャストされた瞬間、どのIPアドレスからそのTXが最初に伝播したかを記録する
  3. タイムスタンプとIPを照合することで「このIPアドレスがこの時刻にXMRを送信した可能性が高い」という推定が可能になる

Moneroには「Dandelion++」という難読化プロトコルが実装されており、IPの直接特定は困難にされている。しかし流出動画では、複数の観測ノードと統計分析を組み合わせることで、Dandelion++の保護を部分的に突破できると示されていた。ノードを数百台規模で展開すれば、Dandelion++のステムフェーズ中に観測できる確率が大幅に上がるからだ。

リング署名攻撃と組み合わせると何が特定されるのか

IP追跡単独では「このIPがXMRを送った可能性がある」という推測に留まる。しかし、これをリング署名の統計解析と組み合わせると脅威のレベルが一段上がる。

リング署名は「本物の送信者1人＋デコイ複数人」で構成されるが、統計的手法でデコイを絞り込めた場合、IP情報との突合によって「誰が何を送ったか」という推定精度が大幅に向上する。IP追跡が「送信者のIPを高確率で特定」し、統計攻撃が「チェーン上のアウトプットを絞り込む」——この2つが組み合わさると、それぞれ単独の手法より遥かに強力な追跡が実現する。

統計攻撃：リング署名の70〜85%が特定されると何が起きるか

統計攻撃の深刻さを理解するには、まずリング署名の仕組みを押さえる必要がある。

MoneroのRingCTでは、送信者は自分のコインに加え、ブロックチェーン上の過去のアウトプット（デコイ）を複数束ねて署名する。デフォルトのリングサイズは16。つまり「16人のうち誰が実際の送信者か外部からはわからない」という設計だ。問題は、このデコイ選択アルゴリズムに数学的な偏りが生じるという点にある。

研究チームが使った手法と実証結果（2024〜2025年）

2024年から2025年にかけて、複数の学術チームがMoneroのリング署名に対する統計的解析手法を発表した。最も注目されたのは、チェーン上のトランザクションパターンを用いた機械学習モデルによる解析だ。

この手法では次の特徴量を分析する。

  • コインのアウトプット年齢分布（新しいコインほど本物の送信者である確率が高い傾向がある）
  • 特定のウォレットソフトウェアが生成するデコイ選択パターンの統計的偏り
  • トランザクション手数料と処理速度の相関パターン
  • 時刻による送信パターンの偏り（タイムゾーン推定にも使われる）

結果として、研究チームは過去のMoneroトランザクションの70〜85%において、リングメンバーの中から「最も確率が高い本物の送信者」を特定することに成功した。100%ではないが、これは匿名性の実質的な大幅劣化を意味する。仮に1000件のトランザクションがあれば、そのうち700〜850件で「誰の送信か」がかなりの確率で絞り込める計算になる。

リング数を増やしても突破できる数学的な理由

「それならリングサイズを32や64に増やせばいいのでは？」という疑問は自然だ。しかし問題はそれほど単純ではない。

統計攻撃の核心は「デコイ選択アルゴリズムに偏りがある」という点だ。Moneroのウォレットソフトウェアは、デコイを選ぶ際に「アウトプットの年齢に応じた確率分布」を使用している。この分布が既知である限り、リングサイズを増やしてもデコイの特徴はある程度予測可能になる。

数学的に言えば、デコイ選択分布の偏りが存在する限り、情報エントロピーの増加はリングサイズに比例しない。16→32にしてもエントロピーが2倍になるわけではなく、偏りの分だけ「絞り込み可能な情報」が残り続ける。これはリング署名という仕組み自体の限界であり、パラメータ調整で解決できる問題ではない。FCMP++が根本的に異なるアプローチを採る理由がここにある。

実際のユーザーへの現実的な影響範囲

では現実的な話として、一般のXMRユーザーにとってこのリスクはどの程度深刻か。

正直に言えば、「Moneroを使うだけで即座に特定される」というのは誇張だ。統計攻撃には大量のコンピューティングリソースと専門知識が必要であり、主な脅威アクターは国家機関や大手ブロックチェーン解析企業のような強力なエンティティに限られる。

ただし、以下の条件が重なるとリスクは高まる。

  • CEXでKYC済みのXMRを購入してそのまま使用する
  • 規則的な時間帯・金額のトランザクションパターンを繰り返す
  • 古いバージョンのウォレットソフトウェアを使用している

これらのリスクを下げる最初のステップが、No-KYCでクリーンなXMRを入手することだ。KYCなしでXMRを取得できるスワップサービスとして、Trocador（No-KYC匿名スワップ）が選択肢になる。複数のスワップサービスのレートをリアルタイムで比較して最良の条件でXMRを入手できるため、CEXを経由するよりもプライバシーの起点が格段にクリーンになる。

FCMP++（Full-Chain Membership Proofs）が根本解決する理由

現在Moneroコミュニティが最も期待を寄せているアップグレードがFCMP++（Full-Chain Membership Proofs）だ。統計攻撃の根本的な弱点であるリング署名の仕組みを、全く別のアーキテクチャに置き換えるものだ。

リング署名16メンバーとFCMP++フルチェーン匿名セットの比較図
リング署名（16メンバー）vs FCMP++（フルチェーン匿名セット）比較

「リング署名16」から「全チェーン匿名集合」への転換とは

リング署名の問題の本質は「匿名集合が小さい」ことにある。16個のアウトプットから選ぶというのは、全Moneroアウトプット（数千万件規模）と比較すれば、実質的にはほぼゼロに近い匿名集合でしかない。

FCMP++は、この小さな匿名集合をMoneroブロックチェーン全体のアウトプットに拡大する技術だ。送信者は「16人のうちの1人」ではなく「これまでMoneroチェーンに存在したすべてのアウトプットのうちの1つの持ち主」として署名できるようになる。

これが「Full-Chain Membership（全チェーン帰属証明）」の意味だ。匿名集合のサイズが数千万倍になることで、統計攻撃の前提となる「確率分布の偏りを利用したデコイの絞り込み」が原理的に不可能になる。デコイという概念自体が消えるのだから、デコイを分析するという手法もなくなる。

統計攻撃が無効化される数学的根拠

FCMP++が統計攻撃を無効化できる理由は、ゼロ知識証明の応用にある。

従来のリング署名では「私はこの16人のうちの1人です」という証明を、実際のリングメンバーのリストとともにチェーンに記録する。デコイが明示的にオンチェーンに記録されるため、そのデコイの年齢や選択パターンを分析することが可能だった。

FCMP++では、「私はMoneroチェーン全体の中のどこかのアウトプットの持ち主です」という証明を、特定のアウトプットを一切明かさずに提出できる。Pedersen commitment、Bulletproof+、Curve Treesといった暗号プリミティブを組み合わせることで、チェーン全体のアウトプット集合を参照しながらも、どのアウトプットが実際の送信者のものかを外部から判別できない証明が実現する。

デコイの選択パターンという概念自体が消え去るため、統計的な絞り込みをする足がかりがなくなるわけだ。理論的な匿名集合サイズが16から数千万に拡大するという変化は、プライバシーの実効性を根本から変える。

FCMP++の技術的な詳細については、Monero FCMP++アップグレードの仕組みと2026年の匿名性強化 で詳しく解説している。

実装タイムライン：2026〜2027年の最新情報

FCMP++の開発は2025年から本格化し、2026年時点では複数のテストネットフェーズを経ている段階だ。Moneroの開発コミュニティは段階的なロールアウトを予定しており、メインネットへの統合は2026年末から2027年前半が現実的なタイムラインとして挙げられている。ただしMoneroは「準備ができたときにリリースする」という方針を長年維持しており、スケジュールは流動的だ。

同時に進行しているCARROTプロトコル（新アドレス設計）との統合も重要なマイルストーンで、送受信アドレスの匿名性もFCMP++と組み合わせてさらに強化される。CARROTの詳細と監査結果については CARROT監査完了とFCMP++時代の新アドレス設計 で確認できる。

FCMP++実装後は現在の統計攻撃の有効性が大幅に低下すると研究者たちも認めている。ただし、ネットワーク層（IPアドレス追跡）の問題は暗号技術だけでは解決できないため、TorやI2Pとの組み合わせは引き続き推奨される。

今できること：Moneroのプライバシーを最大化する3つの対策

FCMP++の実装を待つ間も、今すぐ実践できることがある。以下の3つの対策を組み合わせることで、現行の脅威モデルに対するプライバシーを最大化できる。

① No-KYC取引所でクリーンなXMRを入手する

プライバシーの起点が汚染されていると、どれだけオンチェーンで対策しても効果が薄れる。CEXでKYCを経てXMRを購入した時点で、「このアドレスはこのユーザーのものだ」という情報が取引所サーバーに記録される。法的要求があれば当局に開示される情報だ。

解決策はシンプルで、最初からKYCなしでXMRを入手することだ。

  • Trocador：複数スワップサービスのレートを一括比較。登録不要、KYC不要で使いやすい。
  • ChangeNOW：少額のNo-KYCスワップに対応。シンプルなUIで初心者にも向く。

どのサービスが最適かは取引額や通貨ペアによって変わる。スワップサービスの詳しい比較は No-KYCスワップ比較2026（Trocador・FixedFloat・ChangeNOW） で確認できる。また、XMRのNo-KYCスワップの具体的な手順については MoneroをKYCなしで匿名スワップする方法【完全ガイド】 を参照してほしい。

② Cake Walletのプライバシー設定を最適化する（推奨設定チェックリスト）

Cake WalletはMoneroの主要モバイルウォレットだが、デフォルト設定のままでは最大のプライバシーが得られない。以下の設定を確認しよう。

  • ☑ Tor接続を有効にする：Settings → Privacy → Route over Tor をON
  • ☑ ノードを手動設定：信頼できるノードまたは自前のノードを指定する（デフォルトのパブリックノードは避ける）
  • ☑ リングサイズはデフォルト（16）のまま：変更すると統計的に目立つため、手動変更は逆効果
  • ☑ アドレスの使い回しをしない：Subaddressを毎回新しく生成する
  • ☑ バックグラウンド同期を無効化：プッシュ通知サービス経由のIP漏洩を防ぐ

詳細な設定方法と各項目の技術的な背景は Cake Wallet使い方ガイド2026：プライバシー設定の最適化 にまとめてある。

③ churning（チャーニング）でトランザクション追跡を困難にする

Churningとは、XMRを自分のウォレット内で複数回送信し直す操作だ。各トランザクションで新しいリング署名が生成されるため、チェーン解析で「コインの流れ」を追うことが難しくなる。CEXから流れてきたXMRの「来歴」を薄める効果がある。

実践方法はシンプルだ。

  1. 自分の別のSubaddressにXMRを送信する
  2. 数時間〜1日程度待つ（新しいブロックが積まれてデコイプールが増える）
  3. 再度別のSubaddressに送信する
  4. これを2〜3回繰り返す

ただし過度なChurningは逆効果になることもある。送信回数が増えると、特定のウォレットに帰属しやすいパターンが生まれるケースがあるからだ。2〜3回を目安にするのが現実的な落とし所だ。FCMP++実装後はこの操作が不要になる可能性もある。

よくある質問（FAQ）

Q: Moneroで支払ったら相手にIPアドレスがバレるか？

A: 通常の支払い操作では、相手があなたのIPアドレスを知ることはできません。IPアドレスの収集は、ネットワーク上の悪意あるノードが大規模に展開された場合に生じるリスクです。Cake WalletのTor統合設定を有効にするか、Tails OSやWhonixのような匿名OSと組み合わせることで、このリスクはほぼ排除できます。日常的な少額の支払いであれば、現状でも過度に心配する必要はないでしょう。

Q: CEXでXMRを購入したら匿名性は失われるのか？

A: 完全には失われませんが、「入口点」が特定されるリスクが生じます。CEXはKYC情報と取引記録を保持しており、法的要求があれば当局に開示されます。購入時点のアドレスと身元の紐付けは残りますが、その後Churningや複数回のスワップを経ることで、オンチェーン上の追跡難易度は上がります。理想的には最初からNo-KYCスワップ（MoneroをKYCなしで匿名スワップする方法【完全ガイド】参照）でXMRを入手することです。

Q: FCMP++実装後は完全に安全になるのか？

A: 「完全に安全」というものは暗号通貨において存在しません。FCMP++は現行の統計攻撃（リング署名解析）を根本から無効化しますが、ネットワーク層のIP追跡、ウォレットのマルウェア感染、取引所KYCとの連結といった問題は依然として残ります。FCMP++実装後も、Tor使用・No-KYC入手・Subaddress管理といった基本的なプライバシー対策は継続することが推奨されます。「よりプライバシーが強化される」が正確な表現です。

関連記事

まとめ：完璧な匿名性はないが、MoneroはFCMP++で進化し続けている

2024年〜2026年で明らかになったことを整理しよう。

Chainalysisの流出動画が示したように、悪意あるノードによるIPアドレス収集は現実の脅威だ。そして統計攻撃によってリング署名の70〜85%が特定できるという研究結果は、「Moneroは完全に安全」という認識を見直させるものだった。

しかし同時に、Moneroコミュニティはその問題に正面から向き合い、FCMP++という根本解決策を開発中だ。全チェーン匿名集合という概念は、リング署名の構造的限界を突破するアーキテクチャ転換であり、2026〜2027年の実装に向けて着実に進んでいる。

FCMP++が実装されるまでの間、今すぐできる3つの対策を実践してほしい。

  1. No-KYCスワップでクリーンなXMRを入手する（Trocador（No-KYC匿名スワップ）が使いやすい）
  2. Cake WalletのTor設定を有効にし、プライバシー設定を最適化する
  3. 必要に応じてChurningを2〜3回実施する

Moneroのプライバシーは完璧ではない。だが適切な使い方を知っていれば、依然として最も実用的なプライバシーコインであり続けている。FCMP++はその弱点を根本から塞ぐ答えだ。実装まで待ちながら、今できる対策を積み重ねていこう。