はじめに

2026年9月、フィンテック大手のRevolutが、正当な政府機関ドメインから送られたように見える情報開示要請に応じ、限られた顧客のKYC情報と取引履歴を第三者へ渡してしまったことを確認しました。TechCrunchによると、同社は「洗練された外部なりすまし詐欺」と説明し、システム侵害や顧客資金への影響はないとしています。

暗号資産ユーザーにとっての核心は資金流出ではなく、パスポート等の身分情報とBitcoin取引履歴がセットで外に出たことです。オンチェーンは公開でも「誰の履歴か」は本来隠れているのに、カストディ／銀行側のKYCが橋渡しになると、擬似匿名性は一瞬で崩れます。

何が起きたのか（公開情報の整理）

複数報道と影響顧客への通知内容を総合すると、骨子は次のとおりです。

  • 手口: 攻撃者が政府機関の正当なドメイン上の不正メールボックスから、当局要請を装った情報開示リクエストを送付。ドメイン認証を通過し得る形だったため、社内チェックをすり抜けた
  • 開示された可能性のあるデータ: 氏名・生年月日・職業・住所・メール・電話、パスポート／運転免許証の写し、本人確認用セルフィー、IBANや口座開設日などの明細、引き出し記録、Bitcoinを含む取引履歴
  • 影響人数: Revolutは「限定的（limited）」と述べ、正確な人数・対象市場・なりすまされた機関名は非公開
  • 対応: 該当アドレスの遮断、実在の政府機関・法執行・規制当局への通報、影響顧客への連絡。資金・パスワード・システムは無事と主張

オンチェーン調査で知られるZachXBTは、Telegram上で本件を取り上げ、規模は小さく、高額資産層を狙った可能性を指摘しています（Revolut側は標的性を公式確認していません）。

参考:

なぜ「including all bitcoin activity」が危険なのか

Bitcoinの台帳自体は公開です。危険なのは次の結合です。

  1. 身分側: 顔写真付きID、自宅住所、連絡先
  2. チェーン側: その口座に紐づくBitcoinの入出金・残高に近い履歴

この2つが同時に渡ると、攻撃者は「公開チェーン上の大きな動き」を、特定の人物・住所にマッピングできます。結果として起こり得るのは、単純な身分詐欺に加え、**高額保有者への狙い撃ちフィッシング、SIMスワップ、脅迫（いわゆる wrench attack）**などです。

「資金は無事」は正しいが不十分です。鍵を盗まれなくても、オフチェーンの紐付け層が漏れると擬似匿名性は回復不能に近いダメージになります。パスワードは変えられても、「過去のBitcoin履歴＋住所」は取り消せません。

当サイトで整理してきたノーKYCでの暗号資産入手ガイドやBTC→XMRスワップの理由が強調してきたのも、まさにこの「カストディが持つ結合鍵」のリスクです。

まだ分からないこと

報道時点で未確定・非公開のままな点も多いです。

  • 影響顧客の正確な人数と地域
  • なりすまされた政府機関の名称
  • 要請受領から実在機関への突合・遮断までの時間窓
  • 標的が本当に高額資産層だったか（ZachXBTの見立て vs 公式未確認）

スコープが曖昧なまま残ると、カウンターパーティリスクの見積もりが難しくなります。今後の規制当局フォローや追加開示があれば、読みは変わり得ます。

ユーザーが取る実務対策

煽りではなく、脅威モデルに沿った確認リストです。

  1. 影響通知の有無: Revolut（や類似フィンテック）から本件の通知が来ていないか確認。来ていれば、身分監視・フィッシング警戒を一段上げる
  2. カストディに残す量を最小に: 取引所・ネオバンクに「見せてもよい履歴」だけを置き、長期保有はセルフカストディへ
  3. KYCレールとオンチェーンの分離: 同一住所・同一端末・同一出金先で、KYC口座とプライバシー用途のフローを混ぜない
  4. 既に結合が疑われる場合: 新規ウォレットへの移管、連絡先・2FAの見直し、住所公開リスクの再評価（完全な「巻き戻し」はできない前提）
  5. 当局要請プロセスへの期待値: 金融機関は正式要請に応じる義務がある。問題は「ドメインが本物に見えた要請」への検証深度。利用者側では、どれだけ結合データを預けるかを自分で制限するのが現実的

通信レイヤのメタデータまで気にするなら、用途に応じて監査済みVPNやミックスネット系（例: NymVPN）を検討する人もいますが、本件の主戦場はVPNではなくフィンテックのKYC保管です。まずは口座に残す情報量と暗号資産の置き場所から見直してください。

まとめ

  • 2026年9月、Revolutは政府ドメインを装った偽の情報開示要請に応じ、限定顧客のKYCとBitcoinを含む取引履歴を第三者へ渡したと確認
  • 資金・システムは無事とされる一方、身分とオンチェーン履歴の結合が本質的リスク
  • ZachXBTは小規模・高額資産層狙いの可能性を指摘（公式未確認）
  • 実務では「カストディ最小化・KYCレール分離・通知後の警戒」が有効。擬似匿名性はカストディの運用品質に依存する

次のアクション: 使っているフィンテック／取引所のセキュリティ通知を確認し、Bitcoinやアルトを長期で置く場所が「KYC付きカストディだけ」になっていないか、今週中に棚卸しする。