Tornado Cashのすべて

暗号資産ミキサーは、銀行でもウォレットでもありません。入金を送るアドレスと出金を受け取るアドレスのつながりを断ち切るスマートコントラクト群であり、送信者と受取人が同一人物にならないようにします。

入金も出金もすべて公開トランザクションであるため、暗号資産ミキサーはトランザクション自体を隠すのではなく、トランザクションのグラフを分断することで機能します。そのため、暗号資産ミキシングサービスにはプライバシーを重視するユーザーと不正行為者の双方が集まり、リスクは送信者側に及びます。

要点

• Tornado CashはEthereum上の暗号資産ミキサーです。一定額の入金を受け付け、ゼロ知識証明を使って、1つのトランザクション内で出金と入金を関連付けられないようにしながら、無関係なウォレットアドレスへ別々のトランザクションで資金を払い出します。

• OFACは2022年8月にTornado Cashを制裁対象に指定し、2022年11月に再指定した後、2025年3月21日にSDNリストから削除しました。第5巡回区控訴裁判所は2024年11月、変更不可能なスマートコントラクトは、経済制裁によって阻止できる「財産」には当たらないと判断しました。

• リストからの削除で終了したのはスマートコントラクトに対する制裁上のリスクであり、刑事責任の追及ではありません。Alexey Pertsevは2024年にオランダで有罪判決を受け、控訴中です。Roman Stormは2025年8月に1件で有罪となり、評決不一致となった2件については、2027年4月26日に再審理が予定されています。

• スマートコントラクトは入金を審査しません。コンプライアンス対応は、リレイヤー、フロントエンド、ブリッジ、取引所、そして取引所が受け入れる前にトランザクションをスコアリングする分析ツールなど、周辺のサービスが担います。

• 2026年になっても、盗難資金はミキサーを利用しています。Driftのエクスプロイトで盗まれた約44,510 ETH（約1億900万USD相当）が、2026年10月にTornado Cashへ送られました。

Tornado Cashとは？

ブロックチェーンは匿名ではなく、仮名性を備えています。すべての暗号資産トランザクションはブロックチェーン上で公開されており、取引所からの1回の出金によって、ウォレットとそのトランザクション履歴に氏名が結び付く可能性があります。こうした情報の露出が、金融プライバシーツールが存在する理由です。

Tornado Cashは、暗号資産ミキシングによってこの露出を和らげます。複数のユーザーからの入金が1つの共有ミキシングプールに入り、出金は別のウォレットアドレスから行われます。暗号資産ミキシングは、同一額の入金と出金のつながりを隠しますが、出金アドレス自体を隠すわけではありません。2019年に開始されたこの暗号資産ミキシングサービスは、Ethereum最大のプライバシープロトコルとなり、その後BNB Smart Chain、Polygon、Novaプールへと拡大しました。

MoneroやZcashなどのプライバシーコインが基盤レイヤーで詳細を隠すのに対し、Tornado CashはBitcoinのような透明性の高いブロックチェーン上の暗号資産アプリケーションです。つながりが分からなくなっても、入金と出金は引き続き確認できます。

コインミキサーとは？

コインミキサー、または暗号資産ミキサーは、複数のユーザーからの暗号資産の入金を集約し、同等額の資金を新しいウォレットアドレスへ返します。暗号資産ミキサーでは、ミキシングプロセスが直接的なつながりを断ち切ります。1人が1人の受取人へ資金を送ることも、複数の送信者が共有プールへ資金を入れ、別々のトランザクションで出金することもできます。そのため、送信者と受取人は同一人物ではなく、観察者は両端を同時に確認できません。Tornado Cashは、資金を保管する運営者を置かず、約束の代わりに暗号学的証明を用いることで、ミキサーをトラストレスなサービスにしました。

中央集権型の暗号資産ミキサーは、トランザクションを組み替える運営者に依存します。一方、ミキサーが自律的に動作するスマートコントラクト群である場合、企業に対する制裁とは異なる法的問題が生じます。Bitcoin tumblerやWasabi WalletのCoinJoinは、より初期の設計です。Bitcoin tumblerはサービスを通じてBitcoinなどのコインを混ぜます。経路の追跡が途切れると、混合されたBitcoinの履歴は追跡できなくなります。Wasabi Walletは、カストディを行わずに利用するBitcoinユーザー間のCoinJoinを調整します。

Tornado Cashの仕組み

暗号資産ミキサーの仕組みを理解するには、まず証明システムから始めます。Tornado CashはZK-SNARKを使用します。ゼロ知識証明によって、ユーザーは「有効な入金が存在する」という命題が真であることを、どの入金かを明らかにせず証明できます。証明から入金者に関する情報が明らかになることはありません。

1. 入金。 暗号資産を入金するため、ユーザーはランダムな秘密情報と、それを基に生成したコミットメントを作成します。その後、0.1、1、10、100 ETHなどの固定額を、対応するプールコントラクトへ入金します。コントラクトはコミットメントを保存します。入金は公開トランザクションですが、秘密情報は公開されません。

2. 待機。 すぐに出金すると、入金との関連付けが容易になります。そのため、時間と暗号資産ミキシングが重要になります。

3. 出金。 ユーザーは、有効なコミットメントが存在することを示す証明と、同じ入金が二重に使用されることを防ぐヌリファイアを送信します。コントラクトは、新しいトランザクションで固定額を送金します。証明は、送信者を特定せずに共有プールへの参加を示します。

4. リレー。 出金プロセスでは、リレイヤーがトランザクションを送信し、ガス代を支払うことができます。そのため、新しいアドレスは最初からETHを保有している必要がありません。リレイヤーはサービス手数料を受け取ります。これは、プロセスに残る数少ない目に見えるつながりの1つです。

図：Tornado Cashの入金インターフェース（2022年アーカイブ）

図：Tornado Cashの出金インターフェース（2022年アーカイブ）

匿名性セットとは、同じプール内で同じ額面のすべての入金を指し、その規模が大きいほどミキシングの効果は高まります。プールが大きく、待機時間が長いほど、ミキシングの追跡は困難になります。分析では、証明を破るのではなく、ブロックチェーン上で追跡可能なタイミング、ガス代の支払い、トランザクション履歴をたどることが一般的です。後のトランザクションで新しいウォレットアドレスへ出金するユーザーは、ミキシングの効果を弱めます。

ガバナンストークンTORN

Tornado Cashは2021年1月、総供給量1,000万枚のTORNガバナンストークンを開始しました。トークン保有者は、プロトコルのパラメータやトレジャリーに関する決定に意見を反映できました。初期配布は、そのサイクルで最も注目を集めたエアドロップの1つとなりました。

TORN保有者はパラメータを変更できましたが、スマートコントラクトを削除したり、ユーザーによる呼び出しを停止したりすることはできませんでした。また、2022年8月には悪意のある提案によって、一時的に攻撃者へ投票権が与えられました。

テクノロジーは善悪を区別できない

ミキサーは、なぜ誰かがプライバシーを求めているのかを尋ねません。同じ共有ミキシングプールに、給与の支払い、政治献金、盗まれた暗号資産が入る可能性があり、テクノロジーはそれらを区別できません。その無差別性が設計であり、同時に法的問題でもあります。

図：コントラクトのトランザクション一覧、2022年アーカイブ（etherscan.io）

米財務省は2022年8月の指定において、このサービスが2019年以降、北朝鮮の国家関係者に関連する資金を含め、70億USDを超える暗号資産をマネーロンダリングしたと述べました。また、不正行為者に対する有効な管理策がなかったとしました。この数字には異論がありますが、ユーザーを審査できない暗号資産ミキサーは、プライバシーインフラであるか、マネーロンダリングの場であるかのいずれかです。

プライバシー擁護派は、暗号資産プライバシーツールは共謀者ではなくインフラであり、同じ論理を暗号化や現金にも適用できてしまうと主張します。裁判所はこの線引きを始めていますが、範囲は限定的です。

Tornado Cash制裁の経緯

2022年8月8日、バイデン政権下の米財務省はTornado CashをSDNリストに追加しました。経済制裁が個人や企業ではなく自律的なコードを対象にした初めての事例でした。財務省外国資産管理室（OFAC）は、この暗号資産ミキサーが北朝鮮のグループを含む悪意あるサイバー行為者の利益のために使用され、盗まれた暗号資産のマネーロンダリングにも利用されたと説明しました。Tornado Cashへの制裁は米国の政策となり、米国市民はコントラクトを利用できなくなりました。

OFACは、8月の指定から数か月後の2022年11月8日、サイバー関連および北朝鮮関連の権限に基づいてTornado Cashを再指定しました。最初の措置が手続き上の異議に直面したためです。フロントエンドは消え、開発者のリポジトリは削除され、貢献者の1人がオランダで逮捕されました。共同創設者のRoman SemenovとRoman Stormも指定対象となりました。

禁止措置の導入後

オランダ当局は2022年8月12日、開発者のAlexey Pertsevをアムステルダムで逮捕しました。2024年5月、オランダの裁判所は同氏をマネーロンダリングで有罪とし、64か月の禁錮刑を言い渡しました。同氏は控訴の準備中、2025年2月に電子監視の下で勾留から釈放されました。控訴は2026年時点でも係属中です。

米国の事件は別の展開をたどりました。共同創設者のRoman Stormは2023年に起訴されました。2025年8月、マンハッタンの陪審は、無許可の送金事業を運営する共謀について同氏を有罪としました。一方、マネーロンダリングの共謀と制裁違反の共謀については陪審の評決が一致せず、裁判官はこの2件の再審理を2027年4月26日に設定しました。この起訴は、開発者を送金業者とみなすものであり、この種の刑事事件ではまれな対応です。

出典：dune.com（2022年アーカイブ）

コミュニティによる「毒入れ」対抗策

2022年8月以降、匿名ユーザーはTornado Cashを経由した少額のETHを著名人のウォレットへ送信しました。この8月の「毒入れ」構想は、Tornado Cashとの接触を審査するプロトコルや取引所にとって、それらのアドレスを汚染されたものにすることを狙ったものでした。

出典：0xjim.eth（2022年アーカイブ）

この行為は、第三者が数ドルを送るだけでアドレスベースのコンプライアンスを悪用できることを示しました。その結果、チームはブロックリストではなく、リスクスコアリングを重視する方向へ進みました。

OFACによるTornado Cashのリスト削除後に変わったこと

法的基盤が揺らいだのは2024年11月でした。Van Loon v. Department of the Treasury事件で、第5巡回区控訴裁判所は、変更不可能なスマートコントラクトは国際緊急経済権限法に基づいて阻止できる「財産」ではないと判断しました。外国人または外国の事業体がそれらを所有していないためです。裁判所は事件を地裁へ差し戻しました。

2025年3月21日、OFACはTornado CashをSDNリストから削除し、米国市民のアクセスを回復するとともに、ユーザーが再び出金できるようにしました。一方で、OFACの措置は基礎となる行為や刑事責任の追及に影響しないと説明しました。リスト削除で取り除かれたのはコントラクトに対する制裁上のリスクであり、利用者の責任ではありません。米国の人物は、トランザクションに盗難資金や制裁対象資金が関係していれば、引き続き刑事責任を問われる可能性があります。また、金融機関はAML要件を満たさない出金を拒否できます。

利用は回復したのか？

一部では回復しましたが、見出しで示される数字ほどではありません。Bitqueryによる7年間のオンチェーン監査では、入金トランザクションが約73億USD、出金が約72億USDと集計されました。1 ETHプールと10 ETHプールが大半を占めています。取引量よりも、クラスタリングやハッキングへの直接的な関与の方が有効なシグナルです。

大口ユーザーには代替手段があります。Railgunは暗号資産プライバシーシステムで、入金を審査し、非公開のスワップとレンディングに対応しています。Chainalysisはまた、サービスの利用が難しくなるにつれて、一部の北朝鮮工作員がYoMixなどのミキサーへ移行したと報告しました。

開発者は今も裁判中

Stormの2025年8月の有罪判決は、双方にとって部分的な勝利でした。陪審は1件を認めた一方、最も長い刑罰が科される可能性のある2件については評決が一致しませんでした。その数日後、米司法省の高官は、分散型かつノンカストディアルな暗号資産ソフトウェアについて、無許可送金事業の運営を理由とする起訴を今後承認しないと述べました。再審理は延期され、2027年4月26日に予定されています。

Pertsevのオランダでの控訴は今も係属中です。同氏の事件では、コードを公開した開発者が、他人によるその利用方法について刑事責任を負う可能性があるかが問われています。Stormの事件では、コントラクトを停止、編集、またはブロックできなかった場合に、同氏が何を運営していたのかが問われています。

Driftのエクスプロイト：なぜミキサーは今も重要なのか

最も明確な事例は2026年に発生しました。4月1日、Solanaの無期限先物取引所であるDrift Protocolから、約2億8,500万USDが流出しました。攻撃者はコードを破ったのではありません。数週間かけて信頼を築き、その後、永続ノンスを使ってセキュリティ評議会のメンバーから事前署名済みトランザクションを取得し、後で実行して管理権限を奪いました。

失敗の原因は暗号技術ではなく、運用にありました。攻撃者は偽のトークンコントラクトを作成し、その価格を人為的に設定して担保として入金し、一連のトランザクションでボールトから資金を引き出しました。ChainalysisとEllipticは資金の流出経路を追跡し、Ellipticはそのパターンが北朝鮮による作戦と一致すると指摘しました。盗まれた暗号資産はUSDCに交換され、Ethereumブロックチェーンへブリッジされ、その後ETHに換金されました。

そして、Tornado Cashが再び登場しました。CoinDeskは、ブリッジされた暗号資産を受け取ったアドレスが、ミキサーを通じて事前に資金提供されていたと報じました。これにより、出金のクラスタリングや追跡が困難になりました。Crypto Briefingによると、2026年10月までに攻撃者は2日間で約44,510 ETH（約1億900万USD相当）をミキサーへ送っていました。一方、約56,569 ETHを引き続き保有していました。

Driftの事例が示すこと

ミキサーは、セキュリティ上の失敗の下流に位置します。Driftは鍵管理とブラインド署名によって資金を失い、暗号資産ミキサーはその後に起きたことだけを変えました。リスト削除によって法的な状況は変わりましたが、技術的な仕組みは変わっていません。ミキサーは入金を拒否できないため、審査はブリッジ、リレイヤー、取引所で行われます。分析担当者はプールに接触するウォレットを厳しく監視し、資金を換金するサービスが実質的なリスク管理を担います。

分散化と暗号資産規制

Tornado Cashは4つの問題が交差する場所にあります。ステーブルコイン発行者は支払いを凍結できるのか、ブロックチェーンは暗号資産トランザクションを検閲できるのか、開発者はユーザーの行為について責任を負うのか、政府はバリデーターに圧力をかけられるのか、という問題です。いずれの答えも争われており、暗号資産業界には確立したルールブックがありません。

ステーブルコインの中央集権性がコミュニティを揺るがす

2022年8月の凍結対応は、DeFiの構造的な弱点を明らかにしました。CircleはTornado Cashに関連するアドレスのUSDCを凍結しましたが、Tetherは自動的に追随することを拒みました。ステーブルコインはDeFiのレンディングや担保の多くを決済しているため、コードが分散化されていても、プール残高を凍結すればその機能を停止できます。規制当局は、ドル連動トークンによって一部の企業がデジタル資産や暗号資産を管理できる接点を持つことを、引き続き強く懸念しています。

出典：Twitter@Jerallaire（2022年アーカイブ）

暗号資産ミキサーはオンチェーン上のつながりを隠せますが、資金が取引所と接触する瞬間までは隠せません。

Ethereumは管理されるのか？

2022年9月のEthereumによるプルーフ・オブ・ステークへの移行は、関連する問題を提起しました。バリデーターやブロック生成者に圧力をかけ、Tornado Cashに関連する暗号資産トランザクションを除外させることは可能なのか、という問題です。一部のリレーは一定期間そのような対応を取りましたが、検閲を行わないリレーがシェアを伸ばし、トランザクションは再び取り込まれました。Ethereumブロックチェーンに単一のスイッチはありませんが、ブロック生成には政策レイヤーがあり、政府による圧力が及ぶ可能性があります。

出典：dune.com（2022年アーカイブ）

分散型ユートピアは本当に存在するのか？

完全な分散化は、表示されるラベルほど一般的ではありません。コントラクトは変更不可能でも、フロントエンドはウェブサイトであり、リレイヤーは企業であり、開発者にはパスポートがあり、トークンには特定可能な保有者がいます。コードはパーミッションレスでも、その作成者までパーミッションレスとは限りません。

分散化は連続体です。支配への耐性は、アップグレード、フロントエンド、流動性、法定通貨のオンランプを誰が管理しているかによって決まります。Tornado Cashは運営者という1つのチョークポイントを取り除きましたが、他の複数のチョークポイントは残しました。

まとめ

Tornado Cashは、一定額の入金をプールし、ゼロ知識証明を使ってユーザーが新しいアドレスへ出金できる暗号資産ミキサーです。Ethereum最大のプライバシープロトコルであり、2022年8月に制裁対象となりました。その後、連邦控訴裁判所が変更不可能なコントラクトは制裁対象となる財産ではないと判断したことを受け、2025年3月にリストから削除されました。

リスト削除によって対立が解決したわけではありません。コントラクトは今も入金を審査できず、開発者は刑事責任の追及と争い続けており、盗難資金は今もミキサーを利用しています。Driftのエクスプロイトはこの状況を明確に示しました。2億8,500万USDの損失が発生し、制裁解除から数か月後にも数万ETHが数千件のトランザクションを通じてTornado Cashへ移動しました。

プライバシーとコンプライアンスは別のレイヤーです。暗号資産ミキサーはオンチェーン上の暗号資産のつながりを分かりにくくできますが、出金を取引所やステーブルコイン発行者にとって受け入れ可能なものにすることはできません。ミキサーを利用する人には引き続きリスクがあり、次の展開はオンチェーン上だけでなく、法廷で決まることになります。

FAQ

Tornado Cashは現在も制裁対象ですか？

いいえ。第5巡回区控訴裁判所が、変更不可能なスマートコントラクトは制裁対象となる財産ではないと判断した後、OFACは2025年3月21日にTornado CashをSDNリストから削除しました。リスト削除によってブロック措置は終了しましたが、あらゆる利用が合法化されたわけではありません。

暗号資産ミキサーとは何ですか？

暗号資産ミキサーは、多数のユーザーからの暗号資産の入金をプールし、異なるウォレットアドレスへ出金するサービスです。そのため、送信者と受取人は1つのトランザクションによって結び付けられません。Tornado Cashは最もよく知られた暗号資産ミキサーであり、法的リスクを伴います。

Tornado Cashの利用は合法ですか？

利用者が誰であるか、資金の出所がどこであるかによって異なります。コントラクトへの制裁は解除されましたが、プールを利用する場合でも、マネーロンダリング法や制裁法は引き続き適用されます。取引所がハッキングと関連付けた出金は凍結される可能性があるため、サービスの利用には重大な法的リスクを伴う、高リスクなインフラとして対応してください。

Tornado Cashの開発者には何が起きましたか？

Pertsevは2024年5月、オランダでマネーロンダリングについて有罪判決を受け、64か月の禁錮刑を言い渡されました。控訴の準備のため、2025年2月に釈放されましたが、控訴は2026年時点でも係属中です。Stormは2025年8月、ニューヨークで1件について有罪判決を受けました。評決が一致しなかった罪状については、2027年4月26日に再審理が予定されています。

Tornado Cashを停止することはできますか？

企業を停止するような形ではできません。中核となるコントラクトは変更不可能で管理者キーもないため、停止できる所有者は存在しません。フロントエンドの停止、リレイヤーへの圧力、トランザクションのブロックによってアクセスを狭めることはできますが、コード自体は引き続き呼び出し可能です。