クリプトカストディ入門：機関投資家と同じ体制でトレジャリーを守る方法

多くのトレジャリーチームがカストディの問題に直面する経緯は似ています。貸借対照表に暗号資産やステーブルコインが加わり、財務部門の誰かが「この資金は誰が、どのような権限で動かせるのか。監査人にはどう見えるのか」と問い始めるのです。標準的なウォレットには、この問いに答える仕組みがありません。秘密鍵を持つ者が資産を支配します。承認ポリシーも、承認の記録も、役割の分離も、もともと備わっていないのです。小規模で取引頻度が低い段階なら対応できますが、機関レベルの規模になれば、それはガバナンス上の欠落となります。

EYの2025年機関投資家デジタル資産サーベイでは、機関投資家の86%がすでにデジタル資産へのエクスポージャーを持つか、2025年中の割り当てを計画していることがわかりました。彼らの多くにとって、内部監査や規制審査を満たす形で資産をどうカストディするかというインフラの問いこそが、実務作業の本当の始まりなのです。

本記事では、機関グレードのクリプトカストディに求められるものを解説します。利用できるモデル、トレジャリー機能が適用すべきガバナンス基準、そしてそれを支えるインフラの選び方です。

トレジャリー機能にとってカストディとは何か

伝統的な金融において、カストディとは、規制された事業者が資産を保有し、規制当局が検証できる保管・報告・資産の分別管理を提供することを指します。この構造は馴染みのあるものです。暗号資産におけるカストディも機能面の要件は同じですが、技術的な基盤が異なります。

デジタル資産の所有権は、秘密鍵の管理によって決まります。秘密鍵とは、特定のアドレスからのすべてのトランザクションを承認する暗号論的な資格情報です。鍵を管理する者が、資産を直接かつ取消不能に支配します。鍵を紛失したり漏洩したりしても電話できる銀行はなく、取り消しの仕組みも、取引について異議を申し立てる中央の権威も存在しません。

トレジュリーチームにとってこれは、本質的にガバナンスをめぐるカストディの問いを生みさせます。鍵へのアクセスを誰が持つのか。誰が送金を承認できるのか。そして資金の動きすべてが定められたポリシーに従ったことを、内部のステークホルダーと外部の規制当局にどう証明するのか。選択するカストディモデルが、この3つの問いへの答えを決めるのです。

3つのモデルと運用上のトレードオフ

セルフカストディは、トレジャリーチームがハードウェアウォレットやセキュアなソフトウェアインフラを通じて秘密鍵を直接管理するモデルです。完全なコントロールとは、ガバナンス層がすべて自社に委ねられるということでもあります。鍵へのアクセスを誰が持つか、送金をどのように承認するか、監査証跡をどう整えるかを、すべて自ら定義しなければなりません。取引量が少なくチームが小規模なうちは機能しますが、運用がスケールするにつれ、ガバナンス要件はインフラが支えられる速度を超えて増大していきます。マルチパーティ承認、ロールベースアクセス、改ざん不可能な監査ログは、トレジャリー業務と並行する大規模なエンジニアリング作業なしには、実装も維持も困難です。

サードパーティカストディアンは、顧客に代わってデジタル資産を保有する規制された機関です。ガバナンスの問題を外部に委ねることで解決する形になります。カストディアンは鍵のセキュリティを管理し、規制コンプライアンスの書類を提供し、一定の損失カテゴリに対する保険を掛けている場合も少なくありません。トレードオフは鍵の直接管理です。資産はカストディアンの承認インフラとそのタイムラインに沿って動くことになります。

頻繁に動かす必要のないバランスシート上のポジションであれば、このモデルはうまく適合することが多いです。高頻度の取引、自動化された送金、リアルタイム決済を必要とするトレジャリー運用では、ボトルネックが取引量とともに積み上がっていきます。

MPCとWaaSインフラは、暗号技術を使って秘密鍵を複数の当事者に分散させ、単一の事業者やデバイスが完全な鍵を保持しないようにします。これにより、スケール時のセルフカストディを危険にさらす単一侵害点が排除され、サードパーティカストディアンには提供できない運用スピードが保たれます。鍵の所有権は自社に残り、その上に承認とガバナンスの層をインフラが提供します。

ガバナンスとスループットの両方を必要とするトレジャリー運用（取引所、決済プロバイダー、日次の送金を実行する企業）にとって、これは機関の実務が収斂したアーキテクチャです。

機関向けカストディに実際に求められるもの

カストディモデルが基盤を定めます。ガバナンス要件は、その基盤が何を支えるべきかを定義します。

マルチパーティ承認はベースラインです。単独の人物が資金を動かす一方的な権限を持つべきではありません。単一の鍵、単一の承認者、単一のデバイスで動くトレジャリー運用には、内部監査が指摘し、攻撃者が積極的に狙う構造的な統制上の弱点があります。誰が発議し、誰が承認し、どの閾値でどう扱うかという承認構造は、トレジャリー機能の他の部分を律するのと同じリスクポリシーを反映すべきです。

ロールベースアクセスはそこから自然に導かれます。トランザクションをレビューする財務マネージャーと、定型支払いを処理する運用スタッフでは、必要な権限が異なります。カストディインフラはそうした区別を設計として強制すべきで、チームの規律に頼って維持すべきではありません。

コールドウォレットとホットウォレットの分離は機関の標準的な実務です。日々の取引に使う運用資金はホットウォレットに置き、定義されたルールに基づいて自動的に補充します。大量の予備資産はコールドストレージに回します。集金からセキュアな保管までの間に手動のステップを挟まないのが理想です。手動のステップは遅延とヒューマンエラーの両方をもたらすからです。ウォレット間で資金を移動させる閾値は、その場の判断ではなくポリシーで定めておくべきです。

監査に耐える承認記録こそが、機関向けカストディを場当たり的な運用から分かつものです。財務チームが求める水準は単なるログではありません。特定の送金が、特定の時刻に、特定の人々によって承認されたことを暗号論的な確実性で示し、しかも事後に改ざんできない記録です。

リスクは現実のものです。Chainalysisの2025年クリプト犯罪レポートによれば、2025年だけでハッキング被害による盗難額は34億ドルに上り、承認プロセスの侵害と秘密鍵の漏洩が主要な攻撃ベクトルに挙げられています。機関のトレジャリー機能が問うべきは、こうしたリスクの存在そのものではなく、送金がどのように承認されたかという精査に自社の統制が耐えられるかどうかです。

CoinsDoのインフラが機関向けカストディをどう支えるか

CoinsDoのアプローチは、他のすべてに影響が及ぶ構造上の決定から始まります。それは、秘密鍵はお客様が保持するというものです。CoinsDoが鍵を保持することは決してありません。資産はお客様の直接管理下に置かれ、提携が終わった後もウォレットアドレスは使い続けられます。中央集権的なカストディアンが出金を凍結したり破綻したりするのを見てきたトレジャリーチームにとって、鍵の所有権は二の次にできる問題ではないのです。

運用レイヤーは、その鍵アーキテクチャの上で動きます。

• CoinGetはコールドストレージへのルーティングを自動化します。入金アドレスで集めた資金は、設定可能な閾値に基づいてコールドストレージへ移動し、集金からセキュアな保管までの間に手動のステップは入りません。
• CoinSendは設定可能な承認フローで出金側を担当します。定義された閾値未満の定型トランザクションは自動的に実行され、高額の送金は実行前に指定された承認者を経由します。
• CoinSignは手動承認のすべてに電子署名を適用し、改ざん不可能で、特定の人物・デバイス・タイムスタンプに紐付く承認記録を生成します。

これは前述の要件、すなわちマルチパーティ承認、ロールベースアクセス制御、自動化されたコールドストレージルーティング、精査に耐える監査証跡にそのまま対応します。

各コンポーネントの仕組みと統合方法についての詳しい解説は、「CoinsDoがCoinGet、CoinSend、CoinSignでクリプトトレジャリー管理をどうシンプルにするか」をご覧ください。

トレジャリー機能が選ぶカストディモデルは、ガバナンス構造、監査への備え、そして問題が起きたときのエクスポージャーを形づくります。初期段階の保有から大量のデジタル資産運用へ進むチームにとっての問いは、機関グレードのカストディが必要かどうかではなく、財務機能が実際に必要とする統制をどのアーキテクチャが支えられるかです。

機関グレードの統制を備えたクリプトトレジャリー機能の構築について詳しくは、クリプトトレジャリー管理ガイドをご覧ください。