FATFのDeFi報告書が示す規制の宛先──コードの外に残る人と組織

Seo Seungchul
8月1日
読了時間: 14分

シリーズ: 論文渉猟

◆今回のレポート："Targeted Report on Regulatory Challenges from Decentralised Finance (DeFi)" (Financial Action Task Force, 2026年7月21日）

概要：DeFiに伴うマネーロンダリング、テロ資金供与、拡散金融のリスクを整理し、既存のFATF基準の適用範囲、支配者や強い影響力を持つ者の判定材料、各国当局と民間事業者に求める対応をまとめた報告書。

DeFiの規制を調べていて、私は一つの違和感を持った。議論の多くが「分散型なら誰を規制するのか」という問いから始まる。ところが現実のDeFiには、コードを書き換える鍵があり、資金を配る財団があり、投票を動かす大口保有者がいる。利用者が触れるウェブアプリは、普通の会社が運営していることも珍しくない。

「誰もいない」のではない。金融サービスを一社で動かしていた時代には一か所にまとまっていた権限が、コード、鍵、トークン、資金、利用画面へ分かれている。

2026年7月にFATFが公表したDeFi報告書は、その分かれた権限を一つずつ人間と組織へ結び直そうとする。報告書の前半を丁寧に読むと、FATFがDeFiへ新しい定義を押しつけたというより、DeFiの自己紹介を信用せず、誰が実際に何をできるのかを調べる手順を整えたことが分かる。

その手順を先までたどると、規制論だけでは終わらない。人が介入できることは支配の証拠であり、同時に修理と救済の条件でもある。FATFが投げた問いは、DeFiがどこまで人間の判断を残すべきかという問題へ続いている。

報告書の射程

FATFはDeFiを危険な技術として一括処理していない。報告書は、自動執行による効率、24時間利用できること、国境を越えたアクセス、公開台帳による追跡可能性を利点として挙げる。2026年5月時点の預かり資産総額は約866億ドルで、暗号資産市場全体の4〜6％ほどだという。市場全体を覆う規模ではないが、2023年から約85％増え、機関投資家や規制金融機関との接点も増えた。FATFが無視できる小領域ではなくなった。

同じ仕組みを犯罪者も使う。スマートコントラクトは夜間も止まらず、資金を別のトークンへ交換し、ブリッジで別のチェーンへ移し、流動性プールへ混ぜられる。公開台帳に履歴が残っても、ウォレットアドレスと現実の人物を結ぶ情報がなければ、捜査機関は最後のところで立ち止まる。取引が見えることと、相手を特定して止められることは同じではない。

報告書が扱う犯罪類型は、詐欺やラグプル、ランサムウェア、ハッキング後の資金洗浄、専門的なマネーロンダリング網、拡散金融まで広い。オラクル操作やガバナンス攻撃も取り上げるため、サイバーセキュリティと資金洗浄の境目が曖昧な箇所はある。それでもFATFの関心は一貫している。犯罪資金がDeFiを通るとき、誰が情報を持ち、誰が取引を止め、誰が当局へ報告できるのか。

ここでFATFは、DeFiプロトコルとDeFi arrangementを分ける。前者はブロックチェーン上のソフトウェアである。後者には、開発者、法人、DAO、ガバナンス、フロントエンド、オラクル、資金管理、利用者への案内まで含まれる。ソフトウェアそのものは暗号資産サービス提供者にはならない。だが、交換、移転、保管、融資などを他者のために業として提供し、または積極的に仲介する自然人や法人は、既存の勧告15に基づく規制対象になり得る。

この報告書は法令ではない。2019年に暗号資産へ広げたFATF基準と、2021年のガイダンスを更新、補足する実務文書である。効果は、各国が国内法と監督実務へどう取り込むかで変わる。FATFがAML/CFT制度の共通基準を与える以上、監督当局がDeFiへ向ける質問は揃っていく。

支配の認定

FATFが繰り返す言葉は、支配または十分な影響力（control or sufficient influence）である。肩書きや法人格を先に見るのではなく、実際に行使できる権限を調べる。

オンチェーン側では、スマートコントラクトのアップグレード鍵、緊急停止権、手数料や担保率の変更権、オラクルの選択、トレジャリーの移動、ガバナンストークンの集中、投票委任と実際の参加率が手掛かりになる。一見すると投票権が多数のウォレットへ分かれていても、同一人物が複数の財布を持っているかもしれない。投票率が低ければ、名目上は少数の保有者が継続的な参加によって決定を支配することもある。

オフチェーン側も調べる。開発者を雇う法人、知的財産を持つ財団、主要フロントエンド、ドメイン、API、データ提供者、開発の優先順位、公式ブランドや説明文の管理者である。どれか一つで決めるのではなく、複数の情報を組み合わせる。固定した数値基準を置けば、トークンを複数の財布へ移す程度の操作で逃げられるからだ。

柔軟さには代償がある。「十分な影響力」が何％の議決権を意味するのか、開発者がどこまでロードマップへ関与すると運営者になるのか、報告書は境界線を引いていない。同じプロジェクトを、ある国はVASPと判定し、別の国はソフトウェア提供者の集まりと見る余地が残る。規制回避には強いが、開発者にとって予測しにくい基準である。

FATFは、DeFiを大きく三つに分ける。支配者を特定できるもの、支配者はいるが匿名性などのため容易に特定できないもの、重要な支配権を持つ者が本当にいないものである。

最初の二類型にはFATF基準が適用される。二番目では、規制対象が存在しないのではなく、当局が見つけられていない。第三類型では、本人確認や資産凍結を実装せよと命じられる自然人や法人がいない。ここで従来の事業者規制が行き詰まる。

各国はその手前でも苦戦している。2026年の調査では約93％に当たる132法域が、対象となるDeFiへFATF基準をまだ実施していなかった。実際にDeFiを登録または認可したのは、回答した142法域のうち2法域だけである。FATFが強く批判しているのは、基準の不足より実施の遅れだ。監督当局が「DeFi」という自己表示を受け入れ、鍵、資金、投票、法人を追えていない。

直接規制の先

ここから、報告書の実務論はDeFiの将来像へつながり始める。支配者を特定できれば、答えは従来金融の延長にある。登録や認可、顧客確認、記録保存、疑わしい取引の届出、制裁対応などを求める。名称がDAOでも、コードが公開されていても、実際に金融サービスを動かす者がいるなら扱いは変わらない。

支配者を特定できない場合と、支配者が本当にいない場合、FATFは接続点を使う。中央集権型取引所、銀行、カストディ業者、主要フロントエンド、ウォレット提供者、ブリッジ、オラクル、データ提供者、ステーブルコイン発行者である。規制金融機関やVASPには、接続先DeFiの危険度を調べ、必要なら追加の本人確認やリアルタイム監視、取引制限を行うよう求める。義務を果たせないなら接続しない、という選択も含む。

ステーブルコイン発行者が凍結機能を持つ場合、プロトコルを誰も止められなくても、発行者は特定の資産を動かせなくできる。主要なウェブアプリが地域制限を設ければ、一般利用者の多くは遠ざかる。コードを削除できなくても、商業的な利用可能性は下げられる。

限界は分かりやすい。別のフロントエンドを使い、自己管理型ウォレットからコントラクトを直接呼び出せる利用者は迂回できる。接続点規制は、プロトコルを消滅させる方法ではない。一般利用者と機関投資家が安全かつ簡単に使える範囲を狭める方法である。

報告書が各国へ求めるのは、国内リスクの評価、支配関係を判定する基準、監督当局の技術能力、官民の情報共有、国際協力、サンドボックスや事前相談、高リスクの非準拠DeFiへの警告や最終的な禁止措置である。DeFi側には支配構造の文書化と当局との連絡窓口を勧める。真に分散しているなら法的義務の宛先はないが、FATFは関係者に自主的な協力を求めている。

ここまでが報告書の基本線である。新しい包括規制を発明したのではなく、既存規制の宛先を探し、宛先がなければ周囲の事業者を使う。実務としては筋が通っている。ただし、その方法はDeFiの形を変える。

三つの権限配置

分散化を一つの尺度で測ると、現実のプロジェクトをうまく説明できない。Liquity、THORChain、Uniswapを並べると、その理由が分かる。

Liquity V2は、ETHなどを担保にステーブルコインBOLDを借りるプロトコルである。Liquity AGという開発会社は存在するが、コアのスマートコントラクトは変更不能でアップグレードできない。ガバナンスが扱うのはプロトコル流動性報奨の配分に限られる。

Liquity AGは中央の公式フロントエンドも運営していない。会社を消したのではなく、会社にも後から動かせない領域を大きく取った。

THORChainは、BitcoinやEthereumなど異なるチェーンの資産を交換するネットワークである。公式FAQは、中央の統治機関もDAOも存在しないと説明する。ただしプロトコルは変更できる。開発者が新しいソフトウェアを提案し、ノードの3分の2超が採用すれば変更が有効になる。Liquityが権限の量を減らすのに対し、THORChainは権限をノードの集合へ配る。個々のノードは支配者でなくても、集合としてはネットワークを変えられる。この集合を法的な支配主体として扱えるかは、FATFの枠組みでも難問として残る。

Uniswapでは異なる権限が同じブランドの下に重なっている。コアのプロトコルには変更不能で許可不要の契約がある。UNIガバナンスはプロトコル手数料の有効化、トレジャリー支出、一定範囲の追加発行を決める。Uniswap Labsはウェブアプリやウォレットを提供する法人であり、利用規約でも同社の製品と基礎プロトコルを区別している。

「Uniswapは分散型か」という質問には、一語で答えられない。コア契約、ガバナンス、企業、フロントエンドを分ければ答えられる。FATFの実効支配という考え方が役立つのは、このときだ。DeFiを中央集権と分散型の間に一列で並べるより、変更権、資金権、アクセス権の配置を記述した方が正確である。

入口の政治

直接規制できないプロトコルが増えるほど、当局は規制された企業に頼る。取引所、銀行、ウォレット、ステーブルコイン発行者、主要フロントエンドが、誰を金融ネットワークへ入れるか決める。

これは周辺的な話ではない。プロトコルへ直接命令できない以上、接続点の判断が規制の実効性を左右する。一般利用者や機関投資家は、法定通貨との交換、資産保管、監査済みの利用画面、税務や会計の処理を必要とする。数社の入口が接続を拒めば、プロトコルが稼働中でも金融サービスとしての規模は縮む。

私は、この副作用を軽く見るべきではないと思う。分散型金融を規制するために少数企業へ監視権限を集めれば、コードの外側で中央集権化が進む。発行者や取引所は当局の命令を実行するだけでなく、どのウォレットを危険とみなし、どのプロトコルとの接続を止めるかを先に判断する。誤判定の影響もそこへ集中する。

もちろん、技術に詳しい利用者は迂回する。だから規制は無意味だ、という結論にはならない。商業的な入口を狭めれば利用者数と流動性に影響する。一方で、犯罪者を含む高度な利用者は残る。負担の大きい利用者ほど抜け道を使い、普通の利用者ほど制約を受けやすい。接続点規制が抱える、あまり気分のよくない偏りである。

DeFiの分散性を評価するなら、ノード数やトークン保有だけでは足りない。利用者が実際に選べる入口の数、ステーブルコイン発行者の凍結権、APIやデータの集中まで見なければならない。技術層が分散していても、利用層は集中できる。

責任を負える能力

FATFが支配の手掛かりとして挙げる権限を、開発者の側から見直してみる。コントラクトの更新、緊急停止、担保率の変更、オラクルの切替え、トレジャリーの移動。これらは、バグを直し、攻撃を止め、市場の急変へ対応し、場合によっては被害者を補償するための道具である。

人が介入できるから、規制当局も命令できる。

この重なりが重要だ。責任を取れるように作られたDeFiほど、規制当局は責任者を見つけやすい。規制責任を避けるために権限を捨てれば、利用者も修理や救済を求めにくくなる。規制可能性と回復可能性は、かなり同じ権限に依存している。

変更不能なプロトコルを規制逃れと決めつけるのは雑である。開発者は以前から、検閲への耐性、運営者を信頼しなくてよいこと、ガバナンス攻撃の抑制、中立的な取引条件を求めて不変性を選んできた。FATF型の規制がその選択を追加的に有利にする可能性はあるが、因果関係はまだ確認されていない。

それでも誘因は存在する。変更権限が法的責任の手掛かりになるなら、開発者は権限を残す費用を計算する。規制当局が責任主体を明確にしようとするほど、命令を受け取れる主体を最初から作らない方が合理的になる場面が出てくる。これは規制側にとって困った結果である。

必要なのは、中央集権か完全分散かという選択ではない。何を変更不能にし、どの非常権限を誰へ残すかを用途ごとに決めることである。緊急権限を残すなら、保有者、発動条件、時間制限、事後説明を公開する。権限を消すなら、事故後の修理と補償ができないことを利用者へはっきり知らせる。支配の有無を宣伝文句に使うだけでは足りない。

複線化する金融

FATF報告書が突然DeFiの未来を変えたわけではない。支配または十分な影響力という考え方は2021年のガイダンスにもあった。2026年報告書は、抽象的だった原則を、鍵、投票、資金、オラクル、利用画面、開発体制を調べる実務へ落とした。各国がこの方法を使い始めれば、すでに進んでいた分岐が速まる。

一つ目は、規制されたオンチェーン金融である。運営主体を明示し、本人確認、監査、制裁対応を組み込み、規制ステーブルコインや金融機関と接続する。スマートコントラクト、自動マーケットメーカー、オンチェーン担保を使っても、社会的には規制金融の一部になる。

別の領域には、統治を最小化した許可不要（permissionless）のプロトコルが残る。変更不能な契約、自己管理型ウォレット、管理鍵の不在を重視し、規制された入口との摩擦を受け入れる。主流金融へ入りにくくても、止めにくい決済や、既存金融へアクセスできない人の選択肢として使われるだろう。

両者の間には広い混合領域がある。誰でも使えるコア契約に、本人確認済みの機関向けフロントエンドを重ねる。許可が要るプールと要らないプールを併設する。同じプロトコルへ地域ごとに異なる画面から接続する。大型DeFiの多くは、この層状の形へ向かうと考える方が自然だ。

この先「DeFiは成功したか」を問うなら、技術と制度理念を分けて測る必要がある。自動マーケットメーカー、トークン化、プログラム可能な決済が銀行や証券市場へ浸透すれば、DeFi技術は成功したと言える。企業や国家にも止めにくく、誰でも許可なく使える金融が主流になるかは別の話だ。

私は、後者が消えるとは考えていない。主流金融を全面的に置き換えるより、主流の外に残る選択肢、越境的な決済、障害時の代替経路として存続する可能性の方が高い。技術は広く取り込まれ、許可不要のプロトコルは狭いが固有の役割を持つ。勝敗より役割分担に近い。

FATFがDeFiへ突きつけたのは「誰が支配しているか」という問いだった。報告書の外まで進むと、問いは少し変わる。誰にも支配されない金融を選ぶとき、利用者は誰にも修理されず、救済されない可能性まで引き受けるのか。

規制当局だけが答える問いではない。コードを書く者、入口を運営する者、資金を預ける者が、それぞれ答えを持つ必要がある。

ポイント整理

ラベルから権限配置への移動
- DAO、オープンソース、スマートコントラクトという形式だけでは分散性を判定できない。
- 変更権、資金権、投票権、アクセス管理を層ごとに調べる必要がある。
接続点に集まる判断権
- 直接規制できないプロトコルに対し、FATFは取引所、銀行、発行者、フロントエンドを使う。
- 一般利用者向けの入口に監視と排除の判断が集中しやすい。
責任と介入権限の重なり
- バグ修正や緊急停止を可能にする権限は、規制上の支配を認定する手掛かりでもある。
- 統治権限を消せば検閲されにくくなるが、事故後の修理と救済も難しくなる。
DeFiの複線化
- 規制されたオンチェーン金融、統治を最小化したプロトコル、両者を重ねる混合型が並存する。
- 技術の普及と、許可不要という理念の普及は別々に評価すべきである。

キーワード解説

【VASP】

暗号資産の交換、移転、保管などを他者のために業として行うサービス提供者。FATF基準では、登録や認可、顧客確認、疑わしい取引の届出などを求められる。DeFiでも、自然人や法人が対象サービスを実質的に提供していればVASPになり得る。

【支配または十分な影響力】

DeFiに関する規制対象を判定するためにFATFが使う考え方。契約の更新、資金移動、経済条件、投票、利用者の入口などへどれほど影響できるかを、オンチェーンとオフチェーンの情報から総合的に判断する。

【変更不能性】

配置後のスマートコントラクトをアップグレードしたり、管理者が内容を書き換えたりできない性質。運営者への信頼を減らせる一方、バグ修正や環境変化への対応も制限する。

【フロントエンド】

利用者がDeFiを操作するウェブサイトやアプリ。基礎プロトコルとは別の主体が運営でき、閉鎖されてもプロトコルが残る場合がある。ただし一般利用者のアクセスを左右するため、FATFは重要な接続点として扱う。

【オンランプ／オフランプ】

法定通貨と暗号資産の間を出入りする経路。銀行や中央集権型取引所が典型で、本人確認や資金凍結を行えるため規制上の捕捉点になる。暗号資産を直接使える場面が増えると、この経路だけに頼る監視の効果は下がる。