暗号資産交換業の本人確認。規制の全体像

暗号資産交換業への参入を検討している事業者、あるいは既存の交換所で本人確認システムの更改を控えている担当者に向けて、この業態の本人確認要件を一枚で整理します。「eKYCベンダーを選んで口座開設フローを作れば終わり」と考えて発注すると、トラベルルールや継続的顧客管理といった、口座開設後に効いてくる要件が漏れます。何をどこまでシステム化する必要があるのかを、発注前に判断できる状態にすることがこの記事の目的です。法令確認日は2026年8月23日です。

この記事の要点

• 暗号資産交換業者は資金決済法の登録制に加えて犯収法の特定事業者です。口座開設時の取引時確認は、2027年4月1日の犯収法改正で画像送信型が使えなくなります
• 本人確認は口座開設の入口だけでなく送金にも効きます。トラベルルール（送付人・受取人情報の通知義務）は、確認済みの顧客情報を送金インフラに接続する仕組みです
• 非対面・越境・即時性という業態特性のため、初回eKYCの強度と、継続的顧客管理・取引モニタリングの両方が審査・検査の焦点になります
• システム発注時は「口座開設フロー」単体ではなく、顧客情報マスタ・モニタリング・記録保存まで含めた全体像で要件を定義する必要があります

本人確認義務は3層構造で捉える

暗号資産交換業の本人確認まわりの規制は、性質の異なる3つのレイヤーが積み重なっています。発注仕様を書く前に、自社がどのレイヤーの何に対応しようとしているのかを明確にしておくと、ベンダーとの認識ズレを防げます。

レイヤー	根拠	求められること
業登録	資金決済法（金融庁登録）	交換業の登録、体制整備、分別管理等
取引時確認	犯収法（特定事業者）	口座開設等での本人特定事項・取引目的・職業等の確認、確認記録の7年保存、疑わしい取引の届出
態勢・監督	金融庁マネロン・テロ資金供与対策ガイドライン、JVCEA自主規制	リスクベースの顧客管理、継続的顧客管理、取引モニタリング

注意したいのは、eKYCサービスを導入して口座開設フローを整備することは、真ん中のレイヤーのさらに一部（本人特定事項の確認）にすぎないという点です。犯収法の取引時確認として成立させるには、取引目的・職業の取得、外国PEPs（重要な公的地位にある者）への該当確認、ハイリスク取引での厳格な確認まで含める必要があります。eKYC機能の切り分け方や全体像の整理はeKYC・本人確認の全体地図にまとめていますので、要件定義の出発点として参照してください。

口座開設eKYCは2027年4月に方式が変わる

現在、暗号資産交換所の口座開設で広く使われているのは「本人確認書類の撮影＋セルフィー」という構成（犯収法の現行ホ方式）です。この方式は2027年4月1日の犯収法改正で廃止され、移行先はICチップ読み取り系またはJPKI（公的個人認証）になります。新旧の方式対照と移行手順は2027年施行後のeKYC方式一覧と移行チェックリストで整理しています。

この改正が暗号資産業態に与える影響として、押さえるべき論点は3つあります。

1. カード非保有者の受け皿設計が完了率を左右します。 交換所の顧客層は若年層・外国籍居住者の比率が高い傾向があり、マイナンバーカードを持っていない申込者の割合が他業態より大きくなりがちです。IC搭載の在留カード・運転免許証の読み取りをどう組み込むかという受け皿の設計が、口座開設完了率にそのまま効いてきます。

2. IC読み取りのUXが事業指標に直結します。 暗号資産の口座開設は即時性が獲得競争力になっている領域です。IC読み取りの完了率が低ければ、申込途中の離脱がそのまま獲得数の減少になります。読み取り失敗がどの層（端末・カード・アプリ・通信）で起きるかの切り分け方はeKYCが失敗する30パターンで詳しく解説しています。

3. なりすまし攻撃の標的になりやすい業態です。 暗号資産は換金性が高く匿名化しやすいため、他業種よりも強い攻撃（ディープフェイクによる顔のなりすまし、カメラ映像への注入攻撃）に晒されます。「ライブネス検知あり」という機能名だけで安心せず、どのような攻撃を想定した対策なのかをベンダーに確認する必要があります。この観点はベンダー選定時の比較項目にも関わるため、eKYCベンダー比較の観点と併せて検討してください。

なお、画像方式からIC・JPKIへの移行を機に、eKYCベンダー利用と自社開発（JPKI直接連携）のどちらが適するかを見直す事業者もあります。判断軸はeKYCとJPKIの違いと使い分けを参照してください。

トラベルルール対応: 顧客情報は「送金の参照マスタ」になる

2023年6月施行の改正犯収法で、暗号資産の移転時に送付人・受取人の情報を移転先の交換業者へ通知する義務、いわゆるトラベルルールが導入されました。FATF基準の国内実装です。

システム設計の観点で重要なのは、トラベルルールが「初回に確認した顧客情報」を送金のたびに参照・伝達する仕組みだという点です。つまり本人確認データベースは、口座開設で書き込んで終わりの静的な記録ではなく、送金処理から常時参照されるマスタになります。発注仕様に落とすときは、次のような論点が運用ルールとシステムの結合部分として現れます。

• 通知方式の互換性: 対応プロトコルが交換所間で異なるため、送金先がどの方式に対応しているかの管理が必要です
• 対象通貨・対象国の判定: どの移転が通知義務の対象になるかを判定するロジックが求められます
• 未対応先への送金の扱い: 通知を届けられない相手への送金をどう処理するかという運用ルールの実装が必要です

「口座開設のeKYC」と「送金システム」を別々のベンダー・別々のプロジェクトで進めると、この結合部分が宙に浮きます。要件定義の段階で、顧客情報マスタを両方から参照する前提のデータ設計にしておくことが重要です。

継続的顧客管理・取引モニタリングまでが検査範囲

金融庁のマネロン・テロ資金供与対策ガイドラインは、リスク格付けに応じた顧客情報の定期更新と取引モニタリングを求めています。初回のeKYCを完璧に整えても、その後の管理が手つかずであれば審査・検査で指摘を受けます。暗号資産業態で特に焦点になるのは次の3点です。

• 取引パターンの乖離検知: 口座開設時に申告された取引目的・職業と、実際の入出金・送金パターン（頻度・金額・送金先）の乖離を検知する仕組み
• 送金先アドレスのリスク評価: ミキサー・制裁対象・ハッキング関連アドレスとの接触の検知。ブロックチェーン分析ツールの利用が事実上の標準になっています
• 休眠口座・名寄せ: 休眠からの急な高額取引の検知や、複数口座の名寄せ

これらの検知結果は自動で完結するものではなく、手動審査キューに流し、担当者の判断と根拠を記録する運用が伴います。つまりシステムには、検知ロジックだけでなく、審査状態の管理と監査に耐えるログ設計が必要です。この「検知→審査→記録」の流れを最初から要件に含めておくかどうかで、後からの改修コストが大きく変わります。

システム発注前チェックリスト

暗号資産交換業の本人確認システムを発注・更改する前に、次の項目が埋まっているかを確認してください。

• 犯収法の取引時確認の全要素（本人特定事項・取引目的・職業・外国PEPs該当性・ハイリスク時の厳格な確認）が要件に含まれているか
• 2027年4月以降の方式（IC読み取り・JPKI）への移行計画があるか（移行チェックリスト）
• マイナンバーカード非保有者（在留カード・運転免許証のIC読み取り）の受け皿があるか
• IC読み取りの完了率を計測・改善する体制があるか（失敗パターンの切り分け）
• ディープフェイク・注入攻撃への対策方針をベンダーに確認したか
• トラベルルールの通知処理が顧客情報マスタを参照できるデータ設計になっているか
• 継続的顧客管理（定期更新・モニタリング・審査キュー・監査ログ）が要件に含まれているか
• 確認記録の7年保存を満たすデータ設計になっているか

まとめ

• 暗号資産交換業の本人確認は、資金決済法（登録）＋犯収法（取引時確認）＋ガイドライン（態勢）の3層で捉える必要があります
• 2027年4月の犯収法改正で口座開設eKYCの画像方式が廃止されます。カード非保有者の受け皿とIC読み取りのUXが競争力を左右します
• トラベルルールにより、本人確認データは送金インフラから常時参照されるマスタになります。静的な記録として設計してはいけません
• 継続的顧客管理・取引モニタリングまで含めた全体が審査・検査の対象です。初回eKYCだけを整えても足りません
• 発注時は「口座開設フロー」単体ではなく、マスタ設計・モニタリング・記録保存まで含めて要件を定義してください

よくある質問

Q. 暗号資産交換所の口座開設に本人確認は必須ですか？

必須です。暗号資産交換業者は資金決済法に基づく金融庁登録が必要であることに加え、犯罪収益移転防止法（犯収法）の特定事業者に該当します。口座開設時には本人特定事項だけでなく、取引目的・職業等の確認、外国PEPsへの該当確認まで含めた取引時確認が義務付けられており、確認記録は7年間の保存が必要です。

Q. 2027年4月の犯収法改正で暗号資産の口座開設はどう変わりますか？

現在広く使われている「本人確認書類の撮影＋セルフィー」の画像送信型（現行ホ方式）が2027年4月1日に廃止され、ICチップ読み取り系またはJPKI（公的個人認証）への移行が必要になります。既存の口座開設フローをこの方式で構築している交換業者は、施行日までにシステムの改修が求められます。

Q. トラベルルールとは何ですか？

2023年6月施行の改正犯収法で導入された、暗号資産の移転時に送付人・受取人の情報を移転先の交換業者へ通知する義務です。FATF基準の国内実装で、口座開設時に確認した顧客情報を送金のたびに参照・伝達する仕組みです。システム上は、本人確認データベースが送金処理から常時参照されるマスタになることを意味します。

Q. マイナンバーカードを持っていない顧客の本人確認はどうすればよいですか？

IC搭載の在留カードや運転免許証の読み取りが受け皿になります。暗号資産交換所は若年層・外国籍居住者の顧客比率が高い傾向があるため、マイナンバーカード以外のIC読み取り経路をどう設計するかが口座開設完了率を左右します。方式ごとの対応書類は2027年施行後のeKYC方式一覧で整理しています。

Q. 継続的顧客管理では何をすればよいですか？

金融庁ガイドラインに基づき、リスク格付けに応じた顧客情報の定期更新と取引モニタリングを行います。暗号資産では、申告された取引目的と実際の取引パターンの乖離検知、ミキサー・制裁対象などリスクの高い送金先アドレスの評価（ブロックチェーン分析ツールの利用が事実上の標準です）、休眠口座からの急な高額取引の検知などが焦点になります。検知結果を手動審査に流し、判断と根拠を記録する運用まで含めて態勢とみなされます。

Q. 暗号資産交換業向けの本人確認システム開発はどこに相談できますか？

eKYCベンダーのパッケージ利用と受託開発（JPKI直接連携を含む）の2つの経路があり、要件の複雑さと内製方針によって適否が分かれます。比較の考え方はeKYCの費用相場と自社開発・ベンダー利用の分岐点を参照してください。TodoONada株式会社でも、方式選定から開発・運用までのマイナンバーシステム導入支援を行っています。

主な参考資料: 金融庁 暗号資産関係、金融庁 マネー・ローンダリング及びテロ資金供与対策に関するガイドライン、警察庁 犯罪収益移転防止法関係（JAFIC）、日本暗号資産等取引業協会（JVCEA）

TodoONada株式会社では、マイナンバーカード認証（JPKI・eKYC）を組み込んだWebサービス・スマホアプリの受託開発を行っています。方式選定（JPKI・IC読み取り・画像方式）から開発・運用までワンストップで支援し、デジタル庁「デジタル認証アプリ」の利用申請・審査対応も書類作成から指摘対応まで伴走します。犯収法をはじめとする業種ごとの本人確認要件の整理からの相談にも対応しており、料金の目安は認証機能組込みプラン150万円〜、認証込みアプリ開発プラン400万円〜、大規模・個別要件は1,000万円〜です。2027年対応の方式移行やトラベルルール・モニタリング連携を見据えた設計のご相談は、マイナンバーシステム導入支援またはお問い合わせからお寄せください。

---

この記事に関連するサービス

TodoONada株式会社では、マイナンバーカード認証を組み込んだシステム開発を行っています。

• マイナンバーシステム導入支援 — JPKI・eKYC対応の本人確認をワンストップで

導入・開発のご相談はお問い合わせからお気軽にどうぞ。検討段階のご相談も歓迎です。