「非中央集権」でも実態をもとに判断
マネーロンダリング（資金洗浄）などへの対策に関する国際基準を策定する金融活動作業部会（FATF）が、分散型金融（DeFi）に関する報告書「DeFiに係る規制上の課題に関する報告書（Targeted Report on Regulatory Challenges from Decentralised Finance）」を7月21日に公表した。
同報告書は、DeFiに関連するマネーロンダリング、テロ資金供与、大量破壊兵器の拡散金融リスクを分析したものだ。また、各国当局がDeFiの仕組みを規制・監督する際の判断基準や、具体的なリスク低減策を示している。報告書は2021年に公表された暗号資産およびVASP（暗号資産サービス提供者）に関するFATFガイダンスを補完する位置付けとなる。
報告書によると、DeFiのTVL（預かり資産総額）は、2026年5月10日時点で866億4,400万ドル（約14.2兆円）となった。2023年5月10日時点の468億6,000万ドル（約7.7兆円）から約85%増加したことになる。
暗号資産（仮想通貨）市場のうちDeFiに関連する割合は推計4〜6%程度にとどまるものの、機関投資家やVASPなどの規制対象事業者による利用が拡大しており、国際金融システムにおける重要性が高まっているという。
なおFATFは、TVLについて、DeFiの活動規模やリスクを網羅的に示す指標ではないとも指摘している。例えば分散型取引所（DEX）は、ロックされた資産額が比較的小さくても、大きな取引量を生み出す場合があるためだ。
FATFの基準は「技術中立」を原則としており、利用される技術ではなく、実際に提供されている機能やサービスをもとに規制対象かを判断する。
DeFiについても、特定可能な自然人または法人が、その仕組みに対して「支配（control）」または「十分な影響力（sufficient influence）」を持つ場合、FATF基準の対象になる。
FATFは「DeFi」と、より広い意味を持つ「DeFi arrangement」を区別している。DeFiはブロックチェーン上のスマートコントラクトを通じて提供される技術やサービスを指す。一方、DeFi arrangementには、それらを機能させる人物、ガバナンス構造、運営上の要素を含むエコシステム全体が含まれる。
報告書は、ガバナンスと支配の構造に基づき、DeFiの仕組みを3つに分類した。
1つ目は、支配者または十分な影響力を持つ人物を特定できる「中央集権型」だ。マーケティング上は非中央集権を掲げていても、実態として特定の人物が支配している場合はFATF基準の対象となり、規制すべきとしている。
2つ目は、支配または十分な影響力は存在するものの、仮名性などにより、その人物を容易に特定できないケースだ。この場合もFATF基準の対象となるが、規制を実効的に適用できない場合には、実務上は未規制の仕組みとして扱い、真に非中央集権的な仕組みに用いるものと同様のリスク低減策を講じるべきとしている。
3つ目は、特定の人物が支配または十分な影響力を行使していない「真に非中央集権型」だ。こうした仕組みはFATF基準の適用対象外となる一方、金融犯罪リスクは残るため、別のリスクベースの対策が必要になる。
支配や十分な影響力の有無を判断する材料として、FATFはオンチェーンとオフチェーンの双方にわたる非網羅的な指標を提示した。
オンチェーンの指標には、ガバナンストークンや議決権の集中、スマートコントラクトのアップグレード・停止権限、主要パラメーターやオラクルの変更権限、プロトコルから生じる手数料や利益の受取先などが含まれる。
オフチェーンの指標としては、ガバナンスや管理上の意思決定を担う署名者、アップグレードキーやマルチシグを管理する人物、ウェブサイトやアプリなどのフロントエンドの運営、知的財産やトレジャリーを保有する法人の存在、開発方針やロードマップの決定、公式ブランドや文書の管理などが挙げられた。
例えば、ガバナンスを企業や財団からDAO（分散型自律組織）に移行したとしても、創業者がガバナンストークンや特別な議決権を保有し続けている場合や、主要な提案を行い、手数料や利益の大部分を受け取っている場合には、形式上の移行にすぎない可能性があるという。
また、開発者、ガバナンストークン保有者、フロントエンド運営者、投資家、オラクル提供者、財団、企業など、複数の主体が異なる部分を支配している場合もある。FATFは、支配者が複数存在することを理由に、マネロン対策上の義務がなくなるわけではないとしている。
FATFの2026年調査に回答した142の国・地域のうち、DeFiに関連するリスクを評価した国・地域は26にとどまった。
また、132の国・地域は、自国内で活動する、FATF基準の対象となり得るDeFiの仕組みを一つも特定していないと回答した。
対象となるDeFiの仕組みに対して免許・登録制度を導入した国・地域は4つで、実際に免許または登録を行った実績があるのは2つのみだった。
FATFは、各国がDeFiの複雑なガバナンス構造や国境を越えた性質を踏まえたリスク評価、規制対象となる仕組みの特定、支配者の特定、規制・法執行措置の適用に苦慮していると指摘した。
大規模ハッキングや詐欺事例も紹介
報告書では、DeFiが詐欺や資金洗浄、サイバー攻撃に悪用された事例も紹介されている。
2026年4月には、北朝鮮（DPRK）と関連するとみられる集団による2件の大規模攻撃が発生した。この2件は、2026年4月末までの暗号資産関連ハッキング被害額の約76％を占めたという。
1件目は、ソラナ（Solana）上の分散型無期限先物取引所「ドリフトプロトコル（Drift Protocol）」から、約2億8,500万ドル（約466億円）が流出した事件だ。
攻撃は約12分間で実行された。攻撃者はソーシャルエンジニアリングを通じて事前承認済みのマルチシグ取引を入手し、偽のトークンをオラクルに有効な担保として認識させたとされる。
もう1件は、リステーキングプロトコル「ケルプDAO（KelpDAO）」に関する約2億9,200万ドル（約477億円）の攻撃だ。
攻撃者は、レイヤーゼロ（LayerZero）を利用したブリッジの単一の検証者に依存する設計上の欠陥を突き、クロスチェーン取引の検証を操作したとされる。被害額のうち約7,500万ドル（約123億円）は凍結されたが、残る資金のはクロスチェーン取引プロトコル「ソーチェーン（THORChain）」を通じて資金洗浄されたという。
報告書では、過去に発生したセーフムーン（SafeMoon）やフォーセージ（Forsage）の事例も取り上げられた。
セーフムーンでは、流動性プールに預けられた資金はロックされており、内部者による取引はないと説明されていた。しかし捜査の結果、開発者らがLPトークンを通じて流動性を密かに支配し、資金を引き出していたとされる。
関係者は数週間で数十兆枚のSFMを引き出し、700万ドル（約11.4億円）以上の利益を得たと報告されている。開発者は証券詐欺、通信詐欺、マネーロンダリングの共謀罪で起訴された。
フォーセージは、スマートコントラクトを利用した正当なDeFi投資サービスとして宣伝されていたが、実態は新規参加者の資金を既存参加者に配分するポンジ・ピラミッド型の仕組みだったとされる。
運営者らは上位のウォレットを支配し、一部のスマートコントラクトを通じて資金を創業者のウォレットに移していたとして、詐欺罪で訴追されている。
FATFは各国・地域に対して、DeFiに関するリスク評価を実施し、支配または十分な影響力を判断する基準を整備するよう求めた。
また、規制対象となるDeFiの仕組みに対する免許・登録制度や監督体制を整え、フロントエンド運営者、VASP、ステーブルコイン発行者など、DeFiと接続する「規制上の接点」を活用することも提言した。
真に非中央集権的な仕組みに対しては、マネロン対策上の義務を直接課すことが難しい。そのため、VASPがオンランプ・オフランプで顧客確認を行うことや、ブロックチェーン分析を通じて不正資金を検知すること、ステーブルコイン発行者が犯罪活動に関連するトークンを凍結または焼却することなどをリスク低減策として挙げている。
金融機関やVASPがDeFiを利用する際には、利用するサービスのリスク評価を行う必要がある。未規制のDeFiと取引する場合は、自社のマネロン対策体制を損なわないよう、ユーザーに対する顧客確認やリアルタイムのブロックチェーン分析などを検討すべきとしている。
民間事業者に対しては、ガバナンスや意思決定の構造、支配または十分な影響力を持つ人物を明確にした文書の整備、当局との連絡窓口（PoC）の設置、プロトコルのサイバーセキュリティに関する定期的な監査などを推奨している。
FATFは、DeFiの基盤となるスマートコントラクトやブロックチェーン技術そのものではなく、金融サービスを提供または積極的に仲介し、実質的な支配や影響力を持つ人物を特定することが重要だとした。
参考：報告書
画像：PIXTA