次の時代の地図 #22：タイムズカー160万件とレジャー端末の資金流出、ゼロ知識証明が必然に

10月9日、ハードウェアウォレット大手のレジャーは、東南アジアの販売店 CryptoBilis で端末を買った利用者から資金流出の報告が出ているとして調べていると公表し、その販売店に販売と出荷の停止を求めた。その10日前には、タイムズカーが、本人確認のために預かっていた運転免許証などの画像が漏れたアカウントを約160万件と確認している。

Ledger Support

@Ledger_Support

·Follow

Ledger is investigating reports of loss of funds from users in South East Asia who purchased products from a reseller named CryptoBillis. As a precaution, and pending the results of our investigation, we have asked CryptoBilis to pause all sales and shipments of Ledger devices. Show more

1:32 PM · Oct 9, 2026

7.2K

Read 1.1K replies

預けた身分証の写しを、事業者が守ってくれると信じること。正規の店から届いた端末を、そのまま信じること。どちらも途中の誰かを信じる設計で、どちらも同じ秋に破れた。

信頼の置き場所は、「預ける・信じる」から「確かめる」へ移り始めている。押しているのは技術の進歩より、続けて起きた事故のほうだ。次の時代の答えは、条件を満たすことだけを数学で示すゼロ知識証明と、本物かどうかを署名で確かめる仕組みにある。

この移動は、技術の流行ではなく損得で必然になる。写しを持つこと、経路を信じることが、利点より大きな負債になった時点で、持たない設計と信じない設計がいちばん安くなるからだ。ただし、写しの山が消える世界には暗い側も同時にある。本号では明るい側と暗い側を同じ地図に載せ、どちらへ傾くかを確かめられる日付を最後に置く。

前号では、次の時代を描く手が制度の内側から外側へ移ったことを書いた。本号が描くのは、信頼の置き場所の移動である。

この秋に破れたもの — 写しの山と、信じた経路

漏えいの事実関係は10月9日の Deep Dive で詳しく書いたので、ここでは要点だけを置く。

一つ目は写しの側である。米国の本人確認業者 IDScan.net は9月の告知で、2026年4月4日から9月2日まで、第三者が同社のクラウド環境の一部に入り込んでいたと明らかにした。対象は身分証の確認サービス VeriScan で、氏名や生年月日、運転免許証やパスポートの番号が含まれうる。何人分かは示していない。米国とカナダの運転免許証1億5,300万件超という数字は、この件との関わりが疑われる闇のサービスの売り手が宣伝した件数で、独立に確かめられたものではない。米連邦捜査局 (FBI) のニューオーリンズ支局が捜査し、カナダのプライバシー・コミッショナーも9月21日に調査を始めた。

国内では、タイムズカーが9月29日、運転免許証の画像などの本人確認書類が漏れたアカウントを約160万件と確認した。同社の質問集によれば、退会した人の運転免許の情報と画像も、なりすまし対策や問い合わせ対応のために7年間保管していた。

二つ目は鍵の側である。レジャーの公式サポートは10月9日、東南アジアの利用者から資金流出の報告が出ており、いずれも販売店 CryptoBilis で購入していたとして調査中だと告知した。調査の結果が出るまでの予防として、CryptoBilis に販売と出荷の一時停止を求め、直近90日にこの販売店で買った人には、まだなら設定を始めないこと、設定済みなら新しく作った復元フレーズを入れた新しい端末へ資産を移すことを勧めている。CryptoBilis は、10月10日時点のレジャーの公式販売店一覧に、インドネシア、マレーシア、フィリピンの販売店として載っている。

被害額として出回っている8,600万ドル超は、オンチェーンの資金の流れを追う調査者 Specter の推計で、検証されていない。原因も確定していない。CoinDesk は、出荷前に端末が改ざんされた可能性を考えられる説明の一つとして挙げつつ、改ざんが原因だという確認は無く、レジャー自身のシステムが侵害された確かな証拠も無いと報じている。10月10日時点で、レジャーは原因も被害の規模も公表しておらず、ここに書いた内容は報道の段階にある。

写しを預かった事業者と、端末を届けた経路。破れた場所は違うが、どちらも利用者が自分では確かめられない途中の誰かを、信じる前提で組まれていた。

写しはなぜ残り、経路はなぜ信じられてきたか

写しが残る理由は二つある。

一つは事業者の都合である。タイムズカーの説明がそのまま例になる。なりすましを防ぐため、そして問い合わせに答えるために、確認が済んだ後も画像を手元に置く。後から見返せる記録は、紛争や不正の調査で役に立つ。

もう一つは規制の保存義務である。米国の銀行は、顧客の本人確認で頼った書類について、種類、番号、発行地を記録し、その記録を作ってから5年間保存するよう連邦規則 (31 CFR 1020.220) で定められている。事業者が持ちたくなくても、持つことが義務になっている場面がある。

経路が信じられてきた理由は、信頼の連鎖にある。メーカーが販売店を選び、販売店が箱のまま端末を届け、利用者は正規の店で買った箱入りの端末なら大丈夫だと考える。CryptoBilis はその連鎖の中で、メーカーの一覧に名前が載る店だった。

この二つの前提が、同時に効かなくなっている。

漏れた顔写真付きの身分証は、なりすましの材料になる。闇のサービスで見本として示された記録には、免許証の表と裏の画像に加えて、偽造を見分けるための赤外線と紫外線の画像まで含まれていた。タイムズカー自身も質問集で、画像を使う非対面の本人確認では顔の画像との照合などの追加手続きがとられると説明しつつ、第三者による不正な申し込みやなりすましの可能性を完全には否定できないと書いている。

箱も、中身の証明にならない。レジャーの購入の手引きは、事前に復元フレーズを仕込まれた端末では包装が手つかずに見えることがあると書き、目視も、包装の確認も、販売者の評判も、自分で行う真正性の確認の代わりにはならないとしている。

券面を見て本物らしいと判断する。箱を見て未開封らしいと判断する。見て判断する確認は、偽物を見分ける負担を、受け取る側に負わせ続ける。偽物の質が上がるほど、その負担は重くなる。

移り先 — 確かめる仕組み

写しの側では、確認の方式そのものが動き始めている。

日本では、2027年4月1日に施行される犯罪収益移転防止法の改正規則が、対面での本人確認について、IC チップの入った写真付きの身分証は提示を受けるだけでなく、チップの情報を読み取ることを求める。券面を目で見て写す確認から、発行元がチップに書き込んだ情報を読む確認へ移る。

欧州連合では、加盟国が2026年末までに、すべての市民、住民、事業者にデジタル ID ウォレットを提供することになっている。欧州委員会の年齢確認の仕様は2026年8月の更新で、ゼロ知識証明を必須の提示方法とし、従来の形式は予備に回した。フランス、デンマーク、ギリシャ、イタリア、スペイン、キプロス、アイルランドの7か国が、2026年中に各国のウォレットで試行している。

Google は2025年4月、Google ウォレットの年齢確認にゼロ知識証明を組み込み、年齢を本人の身元にたどれない形で示せるようにしたうえで、その技術を他のウォレットやサービスにも公開すると発表した。

鍵の側にも、確かめる仕組みは既にある。レジャーの説明によれば、端末の設定時に公式アプリが端末へ無作為の問いを送り、端末の中のセキュアエレメント (改ざんに強い専用チップ) が、工場で書き込まれた秘密鍵で署名して答える。アプリはその署名をレジャーのサーバーで照合し、合えば本物のセキュアエレメントが入っていると判断する。秘密鍵はチップの外に出ないと同社は説明している。

もう一つ、仕組みとしては最も小さく、最も効く原則がある。レジャーは、正規の端末が復元フレーズや PIN を設定済みの状態で届くことは決してないと明記している。自分の端末で自分が新しく作った復元フレーズ以外は使わない。経路を信じない設計の最小単位はここにある。今回レジャーが勧めた対処も、新しく作った復元フレーズへの移し替えだった。

写しの側と鍵の側は、同じ原理で動き始めている。本物かどうかは署名で確かめ、条件は数学で示す。どちらも、途中で誰がそれを運んだかに頼らない。

ゼロ知識証明が置き換えるもの、置き換えないもの

置き換えるのは、条件の確認である。「21歳以上か」「有効な運転免許を持つか」。カーシェアが本当に知りたいのは後者で、免許証の画像そのものではない。条件を満たすという証明だけを受け取り、画像は受け取らない。この形が標準になれば、写しを持つ理由そのものが消える。

年齢を確かめるための写しが漏れた先例は既にある。Discord は2025年10月、年齢の条件で使えなくなった利用者の異議申し立てを審査していた委託先 5CA から、約7万人分の政府発行の身分証の写真が露出した可能性があると公表した。確認を求める場面が増えるほど、写しの山も増える。ゼロ知識証明が止められるのは、この写しの積み上がりのほうである。

置き換えないものもはっきりしている。

金融の本人確認のように、記録を残すこと自体が義務の場面では、ゼロ知識証明を入れても記録の山はなくならない。変えられるのは、条件を確かめるだけで済む場面からになる。

発行元が持つ原本も残る。免許を出す行政、旅券を出す国は、証明の元になる記録を持ち続ける。そして発行元が証明の形式に乗らない限り、何も始まらない。条件を示す証明は、発行元の署名があって初めて意味を持つからだ。

鍵の盗難は、ゼロ知識証明の守備範囲の外にある。レジャーの件で問われているのは、届いた端末が本物か、復元フレーズを自分で作ったかである。こちらに効くのは署名による真正性の確認と、復元フレーズの原則のほうである。

持つこと、信じることが負債になる

ここからが本号の核になる。この移動を必然にするのは技術の進歩より、損得の計算である。

写しを持つ利点は、なりすまし対策と問い合わせへの対応にある。費用は、保管の手間と、漏れたときの代償だ。米コインベースは2025年5月、委託先の従業員らに顧客データを持ち出された件の対応と、顧客への自主的な補償の費用を、約1.8億〜4億ドルと見積もって開示した。日本では2026年7月に改正個人情報保護法が成立し、個人情報保護委員会は政令や規則を詰める工程表で、課徴金を10月中旬の論点に置いている。漏えいの費用は、事業者の側へ移り始めた。

見落とされやすいのは、利点の側も同時に縮んでいることだ。偽造を見分けるための画像まで付いた身分証が大量に出回れば、画像で確かめるという方法そのものの信用が下がる。日本の改正規則がチップの読み取りを求めるのも、その方向を制度で先取りしたものと読める。費用が上がり、利点が下がる。写しを持つ損得は、両側から負債の方向へ傾いている。

その線を越えた時点で、持たない設計がいちばん安くなる。条件を満たすという証明だけを受け取れば、守るべき写しの山が無い。漏れるものが無ければ、漏えいの費用も生じない。

鍵の側も同じ計算になる。メーカーから販売店、倉庫、配送を経て利用者に届くまで、途中の一つひとつが正しかったと信じ続けるには、途中の数だけ監査と信用の費用がかかる。受け取った側が署名で一度確かめれば、途中がいくつあっても確認は一回で済む。経路が長く、販売店が多くなるほど、確かめる側に回る方が安い。

そして今、規制が押す方向と、事故の費用が押す方向が、同じ向きにそろい始めている。日本は IC チップの読み取りを求め、欧州連合はゼロ知識証明を年齢確認の必須の提示方法にした。その同じ時期に、写しの山と信じた経路が続けて破れた。

一つの理由で必然になるわけではない。規制と費用と技術の準備が同時に同じ方向を向いたとき、移動は止まりにくくなる。逆に、どれか一つが向きを変えれば遅れる。その条件は最後の章で並べる。

この地図が向かう世界 — 明るい側と暗い側

ここからは見通しの話になる。同じ移動が、二つの方向へ世界を連れていきうる。

明るい側から書く。

一つ目は、写しの山が消えることである。カーシェアも、バーも、年齢確認の窓口も、条件を満たすという証明だけを受け取るようになれば、7年分の画像を抱える理由が無くなる。漏えいのたびに取り替えのきかない住所や生年月日を差し出す側の負担も、根元から小さくなる。

二つ目は、必要な分だけ示すことが標準になることである。年齢を示すのに生年月日を出さない。免許の有無を示すのに住所を出さない。今は書類一枚をまるごと渡している場面で、問われた条件だけを答えるのが当たり前になる。

三つ目は、個人が自分の手元で確かめられることである。届いた端末が本物かを、自分の手元で署名によって確かめる。相手に示した証明が何を明かすかを、自分の画面で選ぶ。信頼が途中の誰かから、自分の手元の検証へ戻ってくる。

次に暗い側を書く。こちらも一次の文言に根拠を置いて正面から描く。

一つ目は、証明を使った記録が、証明を出す側に集まりうることである。米国の電子フロンティア財団 (EFF) は8月18日、年齢確認の仕組みが頼る証明の発行元は、その証明が使われるたびに追跡できうると指摘し、危険なメタデータの痕跡を生むと書いた。写しの山は消えても、いつ、どこで、何を証明したかの山が別の場所にできるおそれがある。EFF は同じ記事で、欧州で公開された試行版のアプリではゼロ知識証明の機能が閉じた試作版でしか有効になっておらず、同じ「18歳以上」の証明を何度も受け入れさせる抜け道が見つかったことも挙げている。

二つ目は、ウォレットとスマートフォンを持たない人が、確認の外に置かれうることである。証明をスマートフォンで出すことが標準になるほど、端末を持たない人、使いこなせない人の確認は例外の扱いになる。日本の改正規則も、IC チップの無い書類には郵送での確認を組み合わせる別の道を残しているが、その道が細くなれば、確かめる仕組みは使える人と使えない人を分ける線になる。

三つ目は、確認の手間が下がるほど、確認を求める場面そのものが増えうることである。EFF によれば、年齢確認を求める法律は米国の州の約半分にあり、連邦の提案や欧州での導入も進んでいる。一回の確認が軽くなれば、これまで確認を求めなかった場面にも求めやすくなる。

四つ目は、確かめる仕組みの担い手が、国と少数のプラットフォーム、端末メーカーに寄ることである。ウォレットを出すのは国と大手のプラットフォームで、端末の真正性の確認も最後はメーカーの鍵とサーバーに行き着く。途中の多数を信じる設計から、根元の少数を信じる設計へ移るとも言える。根元が止まったとき、確かめる手段そのものが止まる。

五つ目は、自分で確かめる責任が、個人の側に移ることである。復元フレーズを自分で作り、自分で守り、異常があれば自分で資産を移す。今回レジャーが利用者に求めたのも、まさにその作業だった。経路を信じない設計は、信じなくて済む代わりに、確かめる手間と失敗の重さを本人に返す。

明るい側と暗い側は、どちらか一方だけが来るものではない。写しの山が消える仕組みと、証明の記録が集まる仕組みは、同じ設計の上にある。個人が確かめられる世界と、個人が確かめなければならない世界も、同じ一枚の表と裏である。どちらへ傾くかは、最後の章に置く日付で確かめる。

暗号資産とブロックチェーンの位置

暗号資産の取引所の本人確認名簿は、誰が何を持っているかの地図になる。コインベースが2025年5月に開示した件で持ち出されたのは、氏名や住所、政府発行の身分証の画像に加え、残高の記録と取引の履歴だった。パスワードや秘密鍵は含まれていない。それでも、誰がどこに住み、どれだけ持っていそうかは一枚に並ぶ。

暗号資産の保有者にとって、名簿が漏れることは資産だけの問題ではない。レジャー自身も2020年に、約100万件のメールアドレスと、うち9,500人分の氏名、住所、電話番号を流出させている。2025年1月には、レジャーの共同創業者がフランスの自宅から連れ去られ、暗号資産での身代金を要求される事件が起き、警察が救出して10人を拘束した。保有していることが知られること自体の重さが、他の資産より大きい。

選択的開示を掲げるチェーンは、ここで一つの器になりうる。たとえば Midnight の技術文書は、ゼロ知識証明で機微なデータを明かさずに正しさを確かめさせ、利用者が選んだ情報だけを開示する仕組みとして自らを説明している。発行元がその形式で証明を出せば、預けない確認の受け皿になる。発行元が乗らなければ、チェーンの上の仕組みだけでは成り立たない。この点は、国のウォレットや Google の仕組みと同じ条件を負っている。

この読みが崩れる条件

四つある。

ひとつ。欧州連合の各国ウォレットの公開版に、ゼロ知識証明が実際に入らない場合。仕様で必須にしても、市民が使う版で有効にならなければ、写しを渡す確認が続く。

ふたつ。事業者が写しの保存をやめない場合。タイムズカーが再発防止策を出しても、本人確認書類の画像の保管期間が変わらなければ、持たない設計への移動は事故の後でも起きないことになる。

みっつ。漏えいの費用が上がらない場合。課徴金の算定の基準が軽く置かれ、写しを持つ損得が変わらなければ、持たない設計を選ぶ理由は弱いままになる。

よっつ。レジャーの件が販売店単独の不正として片づき、経路の確かめ方が変わらない場合。原因が一つの店に閉じたと受け止められれば、信じる経路をもう一度狭めるだけで、受け取った側が確かめる設計への移動は進まない。

次に見るもの、そして結語

日付のあるものから置く。

10月中旬、タイムズカーが9月29日の発表で「2週間程度を目処」とした詳細の案内の時期が来る。再発防止策の中で、退会者の分まで7年間としてきた画像の保管期間に手が入るかを、同社のお知らせのページで見る。

同じ10月中旬は、個人情報保護委員会の工程表で、課徴金の基本的な考え方を議論する時期にあたる。委員会の会議資料で、算定の基準と対象の線引きがどこに置かれるかが、漏えいの費用の重さを決める。

2026年末、欧州連合の加盟国がデジタル ID ウォレットを提供する期限が来る。試行の7か国の公開版に、ゼロ知識証明が有効な状態で入るかが、写しを渡さない確認が市民の手に届くかを決める。

2027年4月1日、日本で対面の本人確認に IC チップの読み取りを求める改正規則が施行される。券面を写す確認が、制度の上で一段後ろへ下がる日になる。

日付の無いものは、次の公表として置く。IDScan.net の告知ページで、影響を受けた人数が示されるか。レジャーの公式サポートと公式の発表で、原因と被害の規模が示されるか。前者は売り手の申告とどこまで重なるかを、後者は経路の確かめ方が変わるかを決める。

前号で見たのは、次の時代を描く手が制度の外へ移る動きだった。今週見たのは、その時代を支える信頼の置き場所が、途中の誰かから、受け取った側の手元へ移り始める動きである。

🔗 一次ソース