デューデリジェンス

暗号資産におけるデューデリジェンスとは？

デューデリジェンスとは、資金やデータを投じたり、署名権限を与えたりする前に、暗号資産、ブロックチェーンプロトコル、トークン、ウォレット、スマートコントラクト、サービスプロバイダー、投資機会などを体系的に調査するプロセスです。重要な主張を検証し、リスクを特定し、入手可能な証拠を確認したうえで、その機会がユーザーの目的やリスク許容度に合っているかを判断します。暗号資産のデューデリジェンスは、トークン価格が最近上昇したかどうかを確認するだけではありません。プロジェクトの技術、経済性、ガバナンス、セキュリティ、カストディ、流動性、法的構造、関係者などを調査します。また、資産を購入した後やウォレットを接続した後に、何が問題になり得るかも検討します。

公式のInvestor.govの投資調査ガイダンスでは、投資前に機会を調査し、勧誘者の主張以外の情報も確認することをデューデリジェンスと説明しています。

デューデリジェンスを行っても、利益が保証されたり、あらゆるリスクがなくなったりするわけではありません。目的は、回避可能なミスを減らし、取り消しが難しい判断を下す前に不確実性を明らかにすることです。

暗号資産でデューデリジェンスが不可欠な理由

暗号資産のユーザーは、中央集権的な決済取り消し手続きに頼らず、ブロックチェーンのトランザクションを通じて価値のある資産を直接移転できます。その自由には、ウォレットやアカウントを管理する人がより大きな責任を負うことも伴います。有効な秘密鍵で署名されたトランザクションは、送付先やコントラクトの権限をユーザーが誤解していた場合でも、取り消せないことがあります。インフレ、需要の低迷、流動性の低さ、セキュリティ上の問題、ガバナンスをめぐる対立、規制上の制限などにより、トークンの価値が大きく失われる可能性があります。技術的に機能するプロトコルでも、利用が拡大してもトークンに価値が還元されないなら、投資先として適切とは限りません。収益性があるように見えるサービスも、顧客資産を保有する組織が破産したり、出金を停止したりすれば機能しなくなる可能性があります。

CFTCの仮想通貨リスク勧告は、ボラティリティ、ハッキング、詐欺、限定的な保護、失った資金を取り戻す難しさを指摘しています。

デューデリジェンスは、市場リスクと技術、カストディ、法務、運営、詐欺に関するリスクを切り分けるのに役立ちます。

デューデリジェンスとDYORの違い

DYORは「Do Your Own Research（自分で調査する）」の略で、デューデリジェンスは、より体系化された調査と意思決定のプロセスを指します。どちらも情報を自ら検証することを促す考え方です。DYORは一般的な注意喚起として使われることが多い一方、デューデリジェンスでは通常、文書化された質問、証拠、リスク分析、承認基準が伴います。インターネットで簡単に検索することもデューデリジェンスの一部にはなり得ますが、それだけで十分なことはほとんどありません。包括的なプロセスでは、一次資料、ブロックチェーン記録、ソースコード、独立した調査、法的情報、市場データを比較します。何が不明なままなのかも特定する必要があります。「DYOR」や「投資助言ではありません」という表現があっても、勧誘者が誤解を招く主張をしてよい理由にはなりません。

暗号資産のデューデリジェンスの種類

投資デューデリジェンスでは、暗号資産に妥当な経済的目的、評価額、供給構造、リスク特性があるかを調べます。技術デューデリジェンスでは、ブロックチェーンのアーキテクチャ、ソースコード、スマートコントラクト、セキュリティ上の前提、インフラ、ソフトウェア保守を評価します。運営デューデリジェンスでは、組織がウォレット、鍵、従業員、ベンダー、トランザクション、バックアップ、インシデント対応をどのように管理しているかを確認します。法務デューデリジェンスでは、所有権、法人、ライセンス、契約、地域制限、規制上の扱いの可能性を調べます。カウンターパーティ・デューデリジェンスでは、カストディアン、発行体、借り手、バリデーター、サービスプロバイダーの財務健全性、セキュリティ、評判、契約上の義務を評価します。オンチェーン・デューデリジェンスでは、公開ブロックチェーンデータを使って、トークン供給量、トレジャリーの動き、コントラクトの管理権限、流動性、トランザクションに関する主張を検証します。機関投資家による審査では、これらの領域をすべて組み合わせ、技術、法務、財務、コンプライアンス、リスクの各チームの承認を求める場合があります。

調査を始める前に判断内容を明確にする

有効なデューデリジェンスは、検討対象となる具体的な判断を明確にすることから始まります。トークンの購入と、資産をレンディング用スマートコントラクトに預け入れる場合とでは、必要な調査が異なります。バリデーターの運用と、自己管理型ウォレットの利用でも、調査すべき内容は異なります。短期取引では、流動性、執行、市場構造、今後の供給量変化が特に重要です。長期投資では、ガバナンス、普及状況、セキュリティ、競合、将来のトークン発行をより深く分析する必要があります。事業への統合では、稼働時間、トランザクションのファイナリティ、会計、法的義務、サポート、運用復旧を検討する必要があります。調査の量と深さは、判断の価値、期間、複雑さ、取り消しの難しさに応じて増やすべきです。

情報源の優先順位を定める

質の高いデューデリジェンスでは、直接的で検証可能かつ最新で、独立性のある情報源をより重視します。一次資料には、ソースコード、ブロックチェーン記録、スマートコントラクトアドレス、公式仕様、法的届出書類、財務諸表、ガバナンス提案、規制当局のデータベースなどがあります。二次資料には、調査記事、技術レビュー、報道、市場分析、教育コンテンツなどがあります。宣伝用ウェブサイト、スポンサー付き投稿、匿名のメッセージ、インフルエンサーの主張は、発信者がユーザーの判断から利益を得る可能性があるため、追加の検証が必要です。プロジェクトが管理する情報源は、意図した設計を正しく説明していても、弱点や利害の対立を省いている場合があります。独立した情報源も、誤りや古さ、偏りがある可能性があります。したがって、重要な結論は、魅力的な資料1つではなく、複数の証拠に基づいて導くべきです。

プロジェクトの目的を理解する

プロジェクトについて最初に確認すべきなのは、その技術がどのような課題を解決すると主張しているかです。プロジェクトは、想定ユーザー、現在直面している課題、そしてブロックチェーンによってどのような意味のある改善が得られるのかを示すべきです。有効なユースケースには、共有検証、プログラム可能な資産、検閲耐性、デジタル上の希少性、決済、相互に完全には信頼できない関係者間の調整などがあります。サービスの重要な要素をすべて1つの信頼できる組織が管理している場合、ブロックチェーンは不要なコストや複雑さを加える可能性があります。プロジェクトの説明は、技術用語や金融用語だけに頼らず理解できるものであるべきです。ユーザーは現在の製品と将来のロードマップを区別する必要があります。機能のローンチ計画は、その機能が実際に動作する証拠でも、顧客が利用する証拠でもありません。

製品が実際に存在するかを検証する

デューデリジェンスでは、主張されているブロックチェーン、アプリケーション、ウォレット、プロトコルが稼働しているかを確認します。メインネット、公開テストネット、ソースリポジトリ、ブロックチェーンエクスプローラー、アプリのインターフェース、開発者向けドキュメントは、開発の証拠となり得ます。安全かつ合法であれば、少額を使って製品を試すべきです。デモ動画だけでは、一般公開されている製品が同じ機能を備えていることは証明できません。人為的なトランザクション活動によって、稼働していないネットワークが人気に見えることがあります。アプリケーションが機能していても、トークンが適正に評価されていることや、必要であることは証明されません。確認者は、現在利用できる機能、実験段階にある機能、今後の開発に依存する機能を記録すべきです。

ホワイトペーパーを批判的に読む

ホワイトペーパーでは、システムのアーキテクチャ、経済モデル、ガバナンス、セキュリティ上の前提、想定ユーザーを説明すべきです。確認者は、独立して検証できる記述を特定する必要があります。トランザクション速度に関する主張には、トランザクションの種類、ハードウェア、ネットワーク状況、ファイナリティ、テスト方法の説明が必要です。分散化に関する主張では、インフラの運用者、ソフトウェアの開発者、アップグレードの管理者、ガバナンス権限の保有者を特定すべきです。トークン需要については、ユーザーがなぜその資産を取得または保有する必要があるのかを説明すべきです。ソフトウェア、トークノミクス、ガバナンスの変更により、ホワイトペーパーの内容が古くなることがあります。最新のコード、デプロイ記録、ドキュメント、ガバナンス上の決定と照らし合わせる必要があります。

ソースコードを確認する

公開ソースコードがあれば、開発者や研究者はプロトコルやアプリケーションの動作を調査できます。確認者は、そのリポジトリが本物のプロジェクト組織に属することを検証すべきです。コミット履歴から、開発が活発か、少数の貢献者に集中しているか、コピーされたコンポーネントに依存しているかが分かる場合があります。未解決の課題から、未修正の不具合、互換性の問題、設計上の意見の相違が明らかになることがあります。リリースタグやビルド手順は、デプロイ済みソフトウェアと公開ソースコードを結び付けられるか判断するのに役立ちます。コードが公開されているからといって、システムが自動的に安全になるわけではありません。コードを確認した人がほとんどいない場合や、デプロイされたバージョンが公開リポジトリと異なる場合があります。

ソフトウェアの保守状況を評価する

暗号資産を管理するソフトウェアには、OS、依存関係、ネットワーク、攻撃手法の変化に対応する継続的な保守が必要です。確認者は、最近のリリースの時期と内容を調べるべきです。コミットが頻繁でも、書式変更や自動的な依存関係の更新だけであれば十分とはいえません。重要な兆候には、セキュリティ修正、テストの改善、ドキュメント、課題の解決、互換性対応などがあります。元のチームが離れた後もプロジェクトが稼働し続ける可能性はありますが、保守されないソフトウェアはリスクが高まります。重要なコードを複数の独立した人が理解しているかを確認すべきです。1人の開発者だけに全面的に依存するシステムには、大きな継続性リスクがあります。

スマートコントラクトのデューデリジェンス

スマートコントラクトのデューデリジェンスでは、正しいブロックチェーンと完全なコントラクトアドレスを確認することから始めます。詐欺トークンは、正規資産の名称やシンボルを模倣しながら、無関係なコードを使っている場合があります。ブロックチェーンが検証に対応している場合は、コントラクトの検証済みソースコードを確認すべきです。確認者は、ミント、凍結、一時停止、ブラックリスト登録、手数料変更、所有権移転、アップグレード、緊急出金の各機能を特定する必要があります。

最新のSolidityのセキュリティ上の考慮事項では、リエントランシー、外部呼び出し、ガス制限、プライベートデータの露出、認可エラーなどのリスクが説明されています。

コントラクトが記述どおりに動作しても、ユーザーが予想しなかった結果をもたらすことがあります。そのため、コードとともに経済設計やガバナンス設計も確認する必要があります。

アップグレード可能なコントラクトのリスク

アップグレード可能なスマートコントラクトでは、ユーザーが利用を始めた後にロジックを変更できます。アップグレード機能は、脆弱性の修正や機能追加に役立つことがあります。一方で、管理者が出金ルール、手数料、トークンの動作、アクセス制御を変更できる場合もあります。確認者は、誰がアップグレード権限を持つのか、何件の署名が必要なのかを特定すべきです。タイムロックがあれば、アップグレードが有効になる前にユーザーが内容を確認できる場合があります。遅延なしの緊急アップグレードは、攻撃時の対応時間を短縮できる一方、管理者への信頼をより強く求めます。アップグレード権限がある場合、ユーザーは現在のコードだけでなく、権限を持つ者の将来の判断も信頼することになります。

スマートコントラクト監査

スマートコントラクト監査とは、セキュリティ上および設計上の弱点を特定することを目的とした専門家によるレビューです。監査法人、レポートの日付、コードのバージョン、対象範囲、テスト方法、未解決の指摘事項を確認すべきです。あるバージョンのコントラクトに対する監査が、その後のデプロイやアップグレードに自動的に適用されるわけではありません。プロジェクトが監査ロゴを表示していても、レポート全文を公開していない場合があります。解決済みの指摘事項は、文書による回答だけを受け入れるのではなく、修正後のコードと照合すべきです。監査は不確実性を減らしますが、あらゆる脆弱性が存在しないことを証明するものではありません。価値の大きいプロトコルでは、監査に加えて、テスト、モニタリング、権限の制限、バグ報奨金、インシデント対応手順を組み合わせるべきです。

管理者キーを確認する

管理者キーは、アップグレード、トークン発行、トレジャリー送金、コントラクトの一時停止、オラクル設定、緊急機能などを制御する場合があります。重要な操作を1つの秘密鍵だけで実行できるかを確認すべきです。マルチシグでは複数の署名者による承認を求められますが、安全性は署名者の独立性と保護状況に左右されます。5人の従業員が同じ侵害されたシステムを使って管理する5署名ウォレットは、署名数から受ける印象ほどの保護を提供しない可能性があります。タイムロック、支出上限、職務分離、公開モニタリングにより、管理者リスクを抑えられることがあります。管理者キーを紛失または盗難された場合に何が起こるのか、プロジェクトは説明すべきです。隠された権限や、十分に文書化されていない管理権限は、デューデリジェンス上の重大な警告サインです。

開発チームを確認する

チームのデューデリジェンスでは、重要な職務上・技術上の主張を独立して検証できるかを確認します。関連する証拠には、過去の製品、公開コードへの貢献、学術研究、職歴、法的記録、技術プレゼンテーションなどがあります。実名の公開は説明責任を高める可能性がありますが、誠実さや能力を保証するものではありません。匿名チームが自動的に詐欺というわけではありませんが、匿名性によって経歴確認や法的救済が制限されます。創設者が過去のプロジェクトを放棄したことや、根拠のない主張をしたことがないか確認すべきです。チームメンバーがトークン供給量、トレジャリー資産、マーケットメイキング契約、ガバナンス投票を管理している場合、利益相反が存在する可能性があります。重要人物が離れた場合にも事業を続けられる現実的な計画が必要です。

法人を特定する

暗号資産関連のウェブサイトは、1つまたは複数の企業、財団、協会、非公式な開発グループを通じて運営されている場合があります。どの法人が契約を締結し、スタッフを雇用し、トークンを発行し、知的財産を保有し、トレジャリー資産を管理しているのかを特定すべきです。設立国は、紛争解決、報告、課税、債権者の権利に影響する可能性があります。利用規約には、ユーザーとの関係に適用される準拠法を記載すべきです。分散型インターフェースであっても、特定可能な企業が保守していることがあります。財団はプロトコル開発を支援していても、ネットワーク上に構築されたすべてのアプリケーションについて責任を負うとは限りません。法的責任が不明確だと、詐欺、破産、運営上の障害の後に資産を取り戻すことが難しくなる可能性があります。

トークンのユーティリティを理解する

トークンのユーティリティとは、ブロックチェーンやアプリケーション内で資産がどのように使われるかを指します。トークンは、取引手数料の支払い、コンセンサスの保護、ガバナンス投票、サービスの利用権、他の資産の表章、担保などに使われる場合があります。現在有効な機能を特定すべきです。計画段階の用途が、現在の需要を生み出すわけではありません。既存の資産や通常のアカウントシステムではなく、なぜそのトークンが必要なのかをプロジェクトは説明すべきです。有用なプロトコルでも、その活動からトークンに還元される価値がほとんどない場合があります。したがって、製品の有用性とトークンの投資価値は分けて検討する必要があります。

トークン供給量を分析する

トークン供給量の分析では、循環供給量、総供給量、最大供給量、将来の発行、バーン、ミント権限を調べます。存在するトークンの数が分からなければ、トークン価格が低いことに大きな意味はありません。最大供給量が定められていないプロトコルでも、発行率が予測可能な場合があります。最大供給量が固定されていると主張するトークンでも、管理者機能によって追加発行できる場合があります。公表された供給量をオンチェーンのコントラクトデータと比較すべきです。ラップ済み、ブリッジ済み、ロック済み、バーン済みのトークンにより、供給量の計算が複雑になることがあります。供給量の測定方法に不確実性がある場合は、記録に残すべきです。

トークン配分を確認する

トークン配分では、創設者、従業員、投資家、ユーザー、財団、トレジャリー、インセンティブプログラムに供給量がどのように分配されているかを確認します。配分が極端に集中していると、売り圧力やガバナンス支配につながる可能性があります。「コミュニティ配分」という表現の裏で、少数のグループが配布を管理している場合があります。可能であれば、大口配分を保有するアドレスやコントラクトを特定すべきです。関連する組織が複数のアドレスに保有分を分散させていることもあります。配分率は適切な供給量を基準に算出すべきです。未配布トークンの用途と、そのリリースを承認する者をプロジェクトは説明すべきです。

ベスティングとトークンアンロック

ベスティングでは、指定された日付や条件に達するまでトークンの移転を制限します。クリフとは、割り当てられたトークンが一切利用可能にならない期間です。大規模なアンロックは循環供給量を増やし、売り圧力につながる可能性があります。今後のアンロック日、受取人、数量、リリース方法を整理すべきです。公表されたスケジュールは、実際のベスティングコントラクトやウォレットの動きと照合すべきです。非公式な合意は、コードで強制される制限よりも変更されやすい場合があります。現在の流通時価総額が小さく見える場合でも、アンロックリスクを考慮すべきです。

時価総額と完全希薄化後評価額

時価総額は一般に、トークン価格に循環供給量を掛けて算出されます。完全希薄化後評価額（FDV）は、将来のトークンが流通していると仮定し、より大きな供給量を基に価値を推定します。どちらの数値も、市場から引き出せる現金の額を示すものではありません。薄商いのトークンは、少数の取引を基に高い評価額を示す場合があります。FDVは希薄化リスクを明らかにすることがありますが、将来の供給量がいつ流通するかは示しません。評価額を、利用状況、収益、手数料、保護対象資産、開発状況、競合と比較すべきです。決済用資産、ガバナンストークン、ステーブルコイン、トークン化された請求権では、評価指標の解釈が異なります。

流動性のデューデリジェンス

流動性とは、大きな価格変動を引き起こさずに資産を売買できる度合いです。公表された1日の取引高だけでは、表示価格に近い水準で大口取引を執行できるとは限りません。注文板の厚み、流動性プールの準備資産、スプレッド、スリッページ、出金の可否を確認すべきです。流動性が1つのプラットフォーム、ブロックチェーン、取引ペアに集中している場合があります。マーケットメイカーは、市場が不安定なときに注文を取り消すことがあります。流動性プールも、スマートコントラクト、トークン、価格設定のリスクにさらされる可能性があります。デューデリジェンスの報告書では、想定するポジションサイズが執行に与える影響を推定すべきです。

保有者の集中度

保有者の集中度は、大口アドレスや関連組織が供給量のどれほどを管理しているかを示します。大口保有者は価格やガバナンスに影響を与えられる可能性があります。1つのブロックチェーンアドレスが、プロトコルトレジャリー、ベスティングコントラクト、ブリッジ、カストディアン、多数の個人ユーザーを表している場合があります。一方、複数のアドレスが同じ所有者に属していることもあります。そのため、アドレスのラベルは証拠として扱い、確定した身元情報とはみなさないようにすべきです。大口ウォレット間の移転を調べ、配分記録と照合する必要があります。保有の集中が必ずしも許容できないわけではありませんが、公表された分散化や配分計画と整合している必要があります。

トレジャリー資産と支出を確認する

プロジェクトのトレジャリーは、従業員、開発、助成金、セキュリティレビュー、マーケティング、エコシステムプログラムの資金となる場合があります。トレジャリーアドレス、資産、署名者、支出方針、推定運営資金の残存期間を特定すべきです。主に自社トークンを保有するトレジャリーは、プロジェクト活動を縮小させる下落と同時に購買力を失う可能性があります。安定資産はボラティリティを抑える一方、発行体、カストディ、規制上のリスクを伴います。説明のない大口送金は、ガバナンス記録や公式財務報告を通じて調査すべきです。オンチェーン残高が透明でも、すべての負債やオフチェーンの合意が分かるわけではありません。適切なトレジャリーガバナンスには、予算、承認、報告、職務分離が含まれます。

収益と経済的持続可能性

持続可能な暗号資産プロジェクトには、信頼できる資金源または経済的需要が必要です。プロトコルの収益は、取引手数料、貸付金利、取引手数料、サブスクリプション、ストレージ、発行、その他のサービスから得られる場合があります。インフレによって発行されるトークン報酬は、外部ユーザーが支払う収益とは異なります。高利回りが、継続的なトークン発行や新たな預け入れに依存している場合があります。誰が支払い、誰が価値を受け取り、どの費用を賄う必要があるかを特定すべきです。一時的なインセンティブは、持続的な需要を生み出さずに活動を増やすことがあります。経済面のデューデリジェンスでは、補助金やインセンティブが減少した後に何が起きるかをモデル化すべきです。

ガバナンスのデューデリジェンス

ガバナンスは、プロトコルがどのように変更され、重要な判断を誰が管理するかを定めます。方式には、トークン投票、バリデーターによる採用、財団の決定、開発者間の調整、マルチシグ承認、またはこれらの組み合わせがあります。提案を提出できる人と、投票権の算出方法を特定すべきです。委任されたトークンにより、少数の代表者に権力が集中する場合があります。投票率が低いと、供給量の少数しか保有していない参加者が大きな変更を承認できる場合があります。投票が諮問的なものにとどまり、最終的な実行は管理者が行う場合もあります。ガバナンス調査では、正式なルールと、創設者、開発者、大口保有者、サービスプロバイダーの実際の影響力を区別すべきです。

分散化に関する主張を評価する

分散化は、単純に「はい」か「いいえ」で判断できる性質ではありません。ブロックチェーンがトランザクション検証を分散化していても、ソフトウェア開発やインフラのホスティングが集中している場合があります。トークン保有者が多数いても、アップグレードを1人の管理者が制御するプロトコルもあります。分散型アプリケーションが、中央集権的にホストされたウェブサイトや価格フィードに依存する場合もあります。バリデーターの分布、クライアントの多様性、ガバナンス権限、管理者キー、データ依存関係、ユーザーの退出手段を調べるべきです。システムを停止、検閲、変更、リダイレクトできる当事者は誰かを確認してください。分散化の主張は、現在の運用状況を示す証拠によって裏付けられる必要があります。

オンチェーン・デューデリジェンス

公開ブロックチェーン記録は、トークン発行、トレジャリー送金、コントラクトのデプロイ、ガバナンス活動、流動性、保有者の分布を検証するのに役立ちます。オンチェーン分析により、宣伝内容とは異なる実態が明らかになる場合があります。一方、文脈を伴わずに1件の送金だけが示されると、誤解を招くこともあります。アドレス間の送金が、必ずしも購入、売却、実質的所有権の変更を意味するわけではありません。ブリッジ、カストディウォレット、内部再編、コントラクト移行により、大きな資産移動が発生する場合があります。ブロックチェーンデータを、コントラクトコード、プロジェクトの発表、法的情報と組み合わせるべきです。重要な結論を後から検証できるよう、関連するトランザクションハッシュとアドレスをすべて記録しておく必要があります。

カストディのデューデリジェンス

カストディのデューデリジェンスでは、誰が秘密鍵を管理し、資産の回収、移転、凍結がどのように行われるかを確認します。自己管理ではユーザーが直接管理権を持つ一方、バックアップやトランザクションのセキュリティに責任を負います。第三者カストディでは、プロバイダーのセキュリティ、支払能力、方針、法的義務に依存します。

SECの暗号資産カストディに関する情報は、誰が鍵を保有するか、資産をどのように保管するか、プロバイダーがハッキングされたり破綻したりした場合に何が起きるかを確認するよう推奨しています。

出金ルール、ウォレット構成、保険に関する主張、資産分別、鍵の復旧、破産時の扱いを確認すべきです。プラットフォームのアカウント残高は、個別に特定できるオンチェーン資産ではなく、契約上の請求権を表している場合があります。

自己管理のデューデリジェンス

自己管理型ウォレットを確認する際は、提供元、アップデート手順、復旧システム、対応ネットワーク、トランザクション表示を調べるべきです。ウォレットがローカルで鍵を生成するか、第三者がバックアップにアクセスできるかを確認してください。リカバリーフレーズはオフラインで保管し、通常のウェブサイトに入力してはいけません。実験的なアプリケーションは、別のウォレットと少額の残高で試すべきです。ハードウェアデバイスは信頼できる流通経路から入手し、事前設定の形跡がないか確認してください。多額の資産を依存させる前に、復旧手順をテストすべきです。自己管理は1つのカウンターパーティをなくす一方、運用上の責任を増やします。

カウンターパーティ・デューデリジェンス

カウンターパーティ・デューデリジェンスでは、資産の保管、資金の返済、トークンの発行、サービスの提供、償還への対応が期待される個人や組織を評価します。法人と管轄地域を特定すべきです。財務諸表、準備金報告、負債、監査、所有関係、経営陣、関連当事者取引が重要となる場合があります。準備金証明のスナップショットだけでは、すべての負債や借入資産が明らかになるとは限りません。

SECの暗号資産リスク警告は、準備金証明の仕組みが財務諸表監査と同等の保護を提供しない可能性があると注意を促しています。

破産時に顧客資産がどのように扱われるかは、利用規約に明記されるべきです。知名度の高いブランドや多くのユーザーを抱えていても、カウンターパーティリスクがなくなるわけではありません。

ステーブルコインのデューデリジェンス

ステーブルコインのデューデリジェンスでは、トークンの基準価値を維持するための仕組みを調べます。準備資産に裏付けられたトークンについては、準備資産、カストディアン、流動性、償還権、報告、法的所有権を確認すべきです。暗号資産を担保とする設計では、担保の質、過剰担保、強制決済、オラクル、市場ストレスへの対応を調べます。アルゴリズム型の設計は、全額償還可能な準備資産ではなく、インセンティブや関連トークンに依存する場合があります。準備金、償還、市場流動性への疑念が高まると、ステーブルコインが目標価格を下回って取引される可能性があります。凍結やブラックリスト登録の権限を特定すべきです。「ステーブル」という言葉は目標を表すものであり、保証を意味するものではありません。

ステーキングのデューデリジェンス

ステーキングのデューデリジェンスでは、報酬がどのように生み出され、元本にどのようなリスクがあるかを調べます。報酬は、プロトコルによる発行、取引手数料、またはその両方から得られる場合があります。バリデーターの役割、ロック期間、出金時期、スラッシング、ソフトウェア要件を理解すべきです。委任型ステーキングでは、カウンターパーティやバリデーターの運用実績に関するリスクが加わります。リキッドステーキング資産には、追加のスマートコントラクト、流動性、価格乖離のリスクがあります。高い年率表示でも、トークンのインフレや市場価値の低下によって相殺される場合があります。ステーキング報酬を、リスクのない利息と表現すべきではありません。

DeFiのデューデリジェンス

分散型金融のデューデリジェンスでは、相互接続されたプロトコル全体を調べる必要があります。レンディングアプリケーションは、担保トークン、ステーブルコイン、価格オラクル、ブリッジ、強制決済ソフトウェア、ガバナンス、外部流動性に依存している場合があります。1つの構成要素の障害が、ポジション全体に波及する可能性があります。担保率、強制決済ペナルティ、金利ルール、出金制限、コントラクトのアップグレード可能性を確認すべきです。表示される利回りは、手数料、トークンインセンティブ、レバレッジ、価格エクスポージャーに分けて評価してください。コンポーザビリティは便利な金融機能を生み出す一方、依存関係のリスクを高めます。多額の資金を預け入れる前に、少額でプロトコルを試すべきです。

オラクルのデューデリジェンス

オラクルは、外部情報または計算された情報をスマートコントラクトに提供します。価格に依存するプロトコルは、オラクルの更新遅延、操作、利用不能、流動性の低い市場に基づくデータによって機能不全に陥る可能性があります。情報源となる市場、更新頻度、集計方法、代替ルール、管理者権限を特定すべきです。流動性の薄い1つの市場から得た価格フィードは、複数の情報源を用いるフィードより操作されやすくなります。時間加重計算は一部の操作リスクを抑えられる一方、実際の価格変動への反応が遅くなる場合があります。オラクルの更新が停止した場合に何が起きるかを、プロトコルは定めておくべきです。オラクルのセキュリティは、強制決済や担保のルールと併せて評価する必要があります。

ブリッジのデューデリジェンス

ブロックチェーンブリッジは、異なるネットワーク間で価値を移転したり、表章したりします。一方のチェーンで資産をロックし、別のチェーンで関連トークンを発行するブリッジもあります。カストディ、バリデーター、スマートコントラクト、メッセージ検証、アップグレードキー、上限、緊急制御を確認すべきです。接続された両方のブロックチェーンが安全であっても、ブリッジによってリスクが生じる場合があります。ロックされた裏付け資産が盗難に遭ったり、アクセス不能になったりすると、ラップ済み資産の価値が失われる可能性があります。出金を停止したり署名者を変更したりできる組織やコントラクトを確認してください。ブリッジへのエクスポージャーは、システム全体のセキュリティと流動性に応じて制限すべきです。

規制のデューデリジェンス

暗号資産の規制は、地域、活動、製品、顧客の種類によって異なります。トークンは、提供方法や利用方法によって扱いが異なる場合があります。カストディ、決済、レンディング、デリバティブ、ステーブルコイン、トークン化資産には、それぞれ異なる法的枠組みが適用される可能性があります。登録やライセンスは、企業の宣伝ページではなく、規制当局の公式記録で確認すべきです。

最新のFATFの2026年仮想資産アップデートは、ライセンス、登録、リスク評価、監督、トラベルルールの導入が引き続き拡大していると報告しています。

法律や地域制限の変更に伴い、サービスへのアクセスが変わる可能性があります。重要な取引や越境取引には、法律専門家の助言が必要となる場合があります。

AMLと制裁に関するデューデリジェンス

マネーロンダリング対策のデューデリジェンスでは、暗号資産事業者が顧客を特定し、トランザクションを監視し、制裁対象を照合し、必要に応じて疑わしい取引を報告しているかを確認します。方針が、対象となる法域やサービスに合致しているか評価すべきです。訓練を受けたスタッフ、システム、執行体制がなければ、文書化された方針の価値は限定的です。自己管理型ウォレットとの取引には、適用ルールに基づき追加審査が行われる場合があります。コンプライアンスが不十分だと、サービスは規制執行、銀行取引の制限、資産凍結、事業アクセスの喪失にさらされる可能性があります。過度なデータ収集は、プライバシーやサイバーセキュリティのリスクを生むこともあります。プロバイダーがどのような個人情報や取引情報を収集し、どれほどの期間保持するのかを確認すべきです。

税務のデューデリジェンス

暗号資産のトランザクションは、収益がオンチェーンに残っている場合でも、記録管理や納税義務を生じさせることがあります。売却、交換、支払い、ステーキング報酬、マイニング収入、エアドロップ、贈与では、それぞれ異なる扱いとなる可能性があります。

最新のIRSのデジタル資産ガイダンスによると、米国の納税者は該当するデジタル資産の所得や処分を申告し、裏付け記録を保存する必要があります。

適用要件の下では、現在の報告ルールにより対象となるブローカー取引にはForm 1099-DAも使用されます。税務書類に、取得原価を計算するために必要な詳細がすべて含まれているとは限りません。取得日、数量、価値、手数料、ウォレット間の移転、取引目的を記録しておくべきです。税務ルールは法域や個別事情によって異なるため、有資格者の助言が必要となる場合があります。

セキュリティ履歴を調査する

プロジェクトのセキュリティ履歴からは、チームが危機にどう対応するかが分かる場合があります。過去のエクスプロイト、停止、鍵の紛失、ソフトウェアの不具合、情報開示の方針を調べるべきです。インシデントが発生したからといって、現在のシステムが自動的に安全でないとは限りません。対応では、原因、影響を受けたユーザー、是正措置、補償、得られた教訓を説明すべきです。インシデントを隠したり、証拠なしにユーザーの責任としたりするチームには、さらなる懸念があります。同じ管理上の弱点に関する障害が繰り返されるなら、リスク管理が不十分であることが示唆されます。報告されたインシデントがないプロジェクトは、安全である場合も、立ち上げたばかりの場合も、十分にテストされていない場合も、透明性が不足している場合もあります。

サイバーセキュリティと運用管理

暗号資産を保有または管理する組織は、多層的なサイバーセキュリティと運用管理を導入すべきです。関連する管理策には、多要素認証、ハードウェア保護された鍵、アクセス権の見直し、トランザクション上限、承認の分離、モニタリング、バックアップ、インシデント対応などがあります。強いアクセス権を持つ従業員には、必要に応じて経歴調査とセキュリティ研修を実施すべきです。重要なソフトウェア依存関係を一覧化し、監視する必要があります。バックアップは作成するだけでなく、復元テストを行うべきです。災害復旧計画では、施設、クラウドアカウント、従業員、デバイス、通信システムの喪失も想定する必要があります。デューデリジェンスでは、セキュリティ上の主張が将来の意図ではなく、実際の運用を反映しているか確認すべきです。

利益相反を特定する

勧誘者、研究者、開発者、インフルエンサー、アドバイザーは、トークンの普及や価格上昇から金銭的利益を得る場合があります。利益相反があるからといって、その人の発言が自動的に誤りになるわけではありません。ただし、独立した証拠がない場合に、その発言をどの程度信頼すべきかには影響します。トークン保有、報酬、紹介契約、投資家への配分、マーケットメイキング契約、取締役の役割を特定すべきです。プロジェクトが好意的な調査レポートの費用を負担していても、スポンサーであることが明確でない場合があります。チームメンバーが一般ユーザーに購入を促す一方で、自らのトークンを売却できる場合があります。重要な利益相反は明確に開示し、最終的なリスク評価に反映すべきです。

詐欺の警告サインを見分ける

利益の保証や、投資で損失が発生しないという主張は、重大な警告サインです。暗号資産をすぐに送るよう迫る行為は、慎重な調査を妨げることを目的としている場合があります。秘密鍵やリカバリーフレーズを求められた場合、ウォレットの支配権を得ようとする行為とみなすべきです。偽の提携、経歴の盗用、捏造された監査、編集されたスクリーンショットは、よく使われる宣伝手法です。

FTCの暗号資産詐欺ガイダンスは、リターン保証、前払いの暗号資産送金、なりすまし、予期しない投資話に注意を促しています。

正規のプロジェクトは、ユーザーが証拠を確認する時間を認め、秘密のウォレット情報を要求しないはずです。投機的な機会を1つ逃すより、詐欺アドレスへ資金を送金する方が大きな損失につながります。

リスク登録簿を作成する

リスク登録簿には、特定したリスク、その発生可能性、潜在的な影響、証拠、担当者、考えられる管理策を記録します。暗号資産のリスクは、技術、市場、カストディ、ガバナンス、法務、流動性、カウンターパーティ、運用の各カテゴリーに分類できます。各リスクは曖昧な評価ではなく、明確に説明すべきです。リスクの高いスマートコントラクトでも、テスト目的で少額を割り当てるなら許容できる場合があります。同じリスクでも、トレジャリー準備資産に関しては許容できない可能性があります。登録簿には、低減できないリスクも記載すべきです。そのうえで意思決定者は、期待される利益と残存するエクスポージャーを比較できます。

シナリオ分析を行う

シナリオ分析では、不利な状況で投資やプロトコルがどのように動くかを検討します。想定シナリオには、トークンの70%下落、ステーブルコインのペッグ崩壊、ブリッジの障害、スマートコントラクトの一時停止、大口保有者による売却などがあります。ウェブサイトへのアクセス不能、管理者キーの侵害、法的制限、バリデーターの停止、出金停止なども考えられます。ユーザーが退出できるか、また、どの程度のコストがかかるかを推定すべきです。通常時には安全に見えるポジションでも、市場が混乱すると決済できなくなる場合があります。複数の暗号資産リスクが同時に発生する可能性があるため、相関した障害も分析に含めるべきです。最終的な配分は、現実的な深刻な結果が生じても維持できる範囲にすべきです。

投資テーゼを文書化する

投資テーゼでは、資産の価値が上昇または維持される可能性がある理由を説明します。想定される普及、経済的需要、供給の動き、競争上の優位性、投資期間を明確にすべきです。どのような証拠があればテーゼが誤りだと判断できるかも記載します。価格上昇は、すべての前提が正しいことの証拠ではありません。価格下落も、技術が失敗したことを自動的に示すわけではありません。前提を書き残しておくことで、過去の経緯を書き換えずに判断を見直しやすくなります。重要な事実が変わった場合は、テーゼを更新すべきです。

継続的なデューデリジェンス

トークンの購入やプロトコルの承認後も、デューデリジェンスは終わりません。プロジェクトは、アップグレード、ガバナンス投票、トークンアンロック、新しいリーダーの就任、インシデント、法改正などによって変化します。管理者の変更、トレジャリー送金、コントラクトのデプロイ、ソフトウェアリリース、セキュリティ情報の開示を監視すべきです。価格変動によって意図しない集中が生じた場合は、ポートフォリオの規模を見直す必要があります。利用開始時点では財務的に安定していたプロバイダーも、後に流動性の問題を抱えることがあります。リスク上限と退出基準は、定められたスケジュールで見直すべきです。重要な証拠が変わるたびに、資産を保有し続けることは新たな判断となります。

暗号資産のデューデリジェンスの例

あるユーザーが、新しいレンディングプロトコルにステーブルコインを預け入れることを検討しているとします。まず公式ウェブサイト、ブロックチェーン、コントラクトアドレス、法的条件を確認します。ドキュメントを読み、貸し手がどのように利回りを得るのかを特定します。コントラクトコード、監査、アップグレード権限、オラクル、担保ルール、強制決済プロセスを確認します。現在の預け入れと出金、借り手の集中度、トレジャリー資金、過去のインシデントを調べます。ステーブルコインの準備資産と償還リスクも別途確認します。スマートコントラクトのエクスプロイト、ステーブルコインのペッグ崩壊、出金遅延による損失の可能性を計算します。その後、少額から始め、エクスポージャーを増やす前にプロトコルを監視します。

デューデリジェンスでよくある間違い

よくある間違いの1つは、プロジェクト自身が作成した情報だけに頼ることです。製品が機能しているなら、そのトークンも良い投資先だと考えるのも誤りです。3つ目は、スマートコントラクト監査を保証とみなすことです。4つ目は、管理者キーやアップグレード権限を無視することです。5つ目は、現在の供給量だけを確認し、将来のトークンアンロックを調べないことです。6つ目は、公表された取引高だけで流動性を測ることです。7つ目は、公開ブロックチェーンアドレスを、確認済みの法的な本人情報として扱うことです。8つ目は、カストディ、税務、規制上の影響を無視することです。9つ目は、調査を一度行った後、その後の変化を監視しないことです。10個目は、機会損失への恐れによって、証拠に基づく意思決定を置き換えてしまうことです。

FAQ

暗号資産におけるデューデリジェンスとは何ですか？

資金を投じたりトランザクションに署名したりする前に、暗号資産プロジェクト、資産、プロトコル、サービスを体系的に調査することです。

暗号資産のデューデリジェンスが重要なのはなぜですか？

詐欺、技術的脆弱性、誤解を招くトークノミクス、カストディ上の問題、流動性の制限、法的な不確実性を特定するのに役立ちます。

デューデリジェンスはDYORと同じですか？

密接に関連していますが、デューデリジェンスは通常、より体系化され、文書化され、意思決定に重点を置いたプロセスを指します。

デューデリジェンスを行えば利益が保証されますか？

いいえ。回避可能な不確実性は減らせますが、あらゆる市場変動、ソフトウェア障害、将来の出来事を予測できるわけではありません。

暗号資産のデューデリジェンスは何から始めるべきですか？

具体的な判断、プロジェクトの目的、一次資料、現在の製品、チーム、コード、コントラクト、トークン構造の確認から始めます。

暗号資産調査における一次資料とは何ですか？

ブロックチェーン記録、ソースコード、スマートコントラクトアドレス、公式仕様、法的届出書類、ガバナンス提案、監査報告書などです。

ホワイトペーパーだけでデューデリジェンスは十分ですか？

いいえ。ホワイトペーパーにはプロジェクトの設計や主張が記載されますが、最新のコード、デプロイ状況、利用実績、独立した証拠と照合する必要があります。

オープンソースコードはプロジェクトの安全性を証明しますか？

いいえ。公開コードに脆弱性が含まれている可能性があり、実際にデプロイされたソフトウェアやコントラクトと異なる場合もあります。

監査を受ければスマートコントラクトの安全性が保証されますか？

いいえ。監査はリスクを減らす可能性がありますが、脆弱性を見落としたり、アップグレード後に古くなったりする場合があります。

トークンコントラクトでは何を確認すべきですか？

ミント、凍結、一時停止、手数料、ブラックリスト登録、所有権、アップグレード、供給量、管理者権限を確認します。

トークノミクスのデューデリジェンスとは何ですか？

トークンのユーティリティ、供給量、発行、配分、ベスティング、インセンティブ、ガバナンス、経済的価値の獲得を確認することです。

トークンアンロックが重要なのはなぜですか？

アンロックによって循環供給量が増え、創設者、従業員、投資家が以前は移転制限されていたトークンを売却できる可能性があります。

トークン価格が低い場合、割安ということですか？

いいえ。評価は供給量、流動性、需要、ユーティリティ、将来の発行、プロジェクトの経済活動によって決まります。

流動性のデューデリジェンスとは何ですか？

市場深度、スプレッド、スリッページ、プール準備資産、出金の可否、ポジションの構築や解消にかかる予想コストを確認することです。

オンチェーン・デューデリジェンスとは何ですか？

公開ブロックチェーン記録を使って、トークン供給量、保有者の集中度、トレジャリーの動き、コントラクト、流動性、ガバナンスの動きを検証することです。

オンチェーンデータであらゆるウォレット所有者を特定できますか？

いいえ。1人が多数のアドレスを管理することも、1つのアドレスが多数のユーザーを表すこともあります。

カストディのデューデリジェンスとは何ですか？

誰が秘密鍵を管理するか、資産がどのように保管されるか、出金はどう行われるか、盗難、紛失、破産後に何が起きるかを確認することです。

カストディアンを利用する前に何を確認すべきですか？

法人、セキュリティ、資産分別、出金ルール、財務状況、鍵の管理、破産時の条件を確認します。

準備金証明だけで十分ですか？

いいえ。準備金のスナップショットだけでは、すべての負債、借入資産、所有権をめぐる争い、オフチェーンの義務が明らかにならない場合があります。

ステーブルコインでは何を確認すべきですか？

準備資産、償還権、発行体リスク、カストディアン、流動性、スマートコントラクト、法的条件、凍結権限を確認します。

ステーキングを始める前に何を確認すべきですか？

報酬源、インフレ、ロック期間、出金、スラッシング、バリデーターリスク、コントラクトリスク、トークン価格のボラティリティを確認します。

暗号資産詐欺の主な警告サインは何ですか？

主な警告サインは、リターン保証、緊急の支払い要求、リカバリーフレーズの要求、偽の提携、隠された管理権限です。

規制されていれば暗号資産商品は安全ですか？

いいえ。規制上の地位によって監督や法的義務が追加される場合はありますが、市場、セキュリティ、カストディ、運用のリスクをなくすことはできません。

デューデリジェンスに税務の確認も含めるべきですか？

はい。取引、ステーキング、収益獲得、交換、デジタル資産の支出を行う前に、記録管理と税務上の扱いの可能性を理解すべきです。

デューデリジェンスはどのくらいの頻度で更新すべきですか？

重要な出来事が起きたときに更新し、ポジションの価値やリスクに応じた定期的な見直しを行うべきです。

デューデリジェンスで最も重要なルールは何ですか？

資金を移転したり取り消せない権限を与えたりする前に、重要な主張を信頼できる証拠で検証することです。

まとめ

デューデリジェンスとは、暗号資産、プロトコル、ウォレット、サービスプロバイダー、トランザクションのリスクを受け入れる前に、証拠に基づいて評価するプロセスです。包括的な調査では、技術、スマートコントラクト、トークン供給量、流動性、ガバナンス、カストディ、カウンターパーティ、セキュリティ、法律、税務、運用管理を検討します。ブロックチェーン記録、コード、仕様、法的文書、コントラクトアドレスなどの一次資料が、最も有力な出発点となります。宣伝上の主張は、独立した分析や観察可能な活動と照らし合わせるべきです。製品の稼働、公開されたチーム、スマートコントラクト監査、大規模なコミュニティは有用な証拠となる場合がありますが、成功や安全性を保証するものではありません。デューデリジェンスでは、管理者権限、将来のトークンアンロック、隠れた依存関係、カストディの仕組み、現実的な退出条件を特定します。未解決の疑問を記録し、市場や技術に深刻なストレスがかかったときにポジションがどう動くかも分析します。プロトコル、人、規制、財務状況は変わるため、最初の判断後もプロセスを続ける必要があります。デューデリジェンスで不確実性をなくしたり、利益を保証したりすることはできません。しかし、誇大宣伝や性急な判断、根拠のない約束ではなく、検証可能な事実、明確なリスク、より規律ある判断に基づいて行動する助けになります。