ZachXBTがAxiomの内部スキャンダルを暴露、内部社員はどのように権限を乱用したのか？

By: rootdata|2026/02/27 22:12:49

著者： Chloe， ChainCatcher

この数日間、市場の注目を集め、Polymarketで数千万ドルの賭けが積み上がった事件「ZachXBTがどのCrypto企業のインサイダー取引を暴露するのか？」がついに幕を閉じました。2月26日、オンチェーン探偵ZachXBTは正式に調査報告書を発表し、DeFi取引プラットフォームAxiom Exchangeに矛先を向けました。

報告内容は、このプラットフォームの上級社員が内部管理権限を濫用し、長期間にわたりユーザーのプライベートウォレットデータに不正アクセスし、これらの敏感情報をインサイダー取引の道具に変えていたと指摘しています。本記事では、ZachXBTが暴露した証拠の連鎖を深く分析し、「オンチェーンの透明性」が「オフチェーンのブラックボックス管理」に奪われた状況を探ります。

ZachXBTがAxiom Exchangeのインサイダー取引スキャンダルを暴露

Axiom Exchangeは創業者のMistとCalが共同で立ち上げ、2025年初頭にY Combinator Winter Batch（W25）に選ばれました。このプラットフォームは、わずか1年で累計収益が39億ドルを超える驚異的な成績を収めました。しかし、輝かしい財務データの裏には、Broox Bauerという上級ビジネス開発社員がAxiomのバックエンドツールを私的な狩場に変えているという事実が隠されています。

ZachXBTの調査によると、Broox Bauerは単独行動ではなく、組織化された「情報の現金化」プロセスを構築しており、その核心はAxiomの内部管理ダッシュボードです。Brooxはプロモーションコード、ウォレットアドレス、またはUIDを通じて、任意のユーザーのプライバシー情報を自由に検索できました。Brooxは録音の中で、「その人についてのあらゆることを見つけ出せる」と述べ、彼の操作には強い反探知意識が備わっていました：

初めは10から20のウォレットのみを検索し、システムの異常警報を引き起こさないようにしていました。
ロックオンしたターゲットはランダムに選ばれたわけではありません。例えば、Marcellという名のKOLは、長期間にわたりプライベートウォレットで大量のミームコインを購入しており、ファンに流動性の退出を勧めたため、重点的に追跡される対象となりました。このようなトレーダーのプライベートウォレットは公開されることが少なく、アドレスの再利用率も低いため、これらの情報は非常に高いアービトラージ価値を持っています。
組織とルールを構築し、別のAxiom社員Ryan（Ryucio）がユーザー情報の検索を手伝い、Gownoをモデレーターとして雇い、これらのプライベートウォレットをGoogle Sheetsにまとめて追跡していました。

これらの不正行為は10ヶ月以上（2025年4月から始まる）続き、証拠の連鎖には被害者「Jerry」や「Monix」などのバックエンド管理のスクリーンショットが含まれています。これらの資料は疑問を引き起こしました：なぜビジネス開発社員が職能を超えたアクセス権を持っているのか？存在すべき監視警報と権限の隔離は明らかに機能していませんでした。

Axiomの公式回答、背後の構造的な無能を隠すことはできず

ZachXBTの報告書が発表された後、Axiomの公式は標準的なPR危機処理手法を取りました：「驚きと失望」を表明し、権限を取り消し、調査を開始すると発表しました。しかし、これでは背後にある構造的な無能を隠すことはできません。このような事件は、プラットフォームの権限管理の失敗を明らかにしており、単なる一社員の個人的な行動ではありません。

欠落した監査ログ

伝統的な金融や成熟したWeb2テクノロジー企業では、ユーザーの敏感データにアクセスする操作は必ずログを残さなければなりません。もしビジネス開発社員が職能を超えて数百の業務に無関係なウォレットアドレスを検索できるのであれば、システムは即座に警告を発するべきです。Axiomの10ヶ月にわたる監視の真空は、内部システムに「異常行動検出メカニズム」が存在しない可能性を示唆しており、「操作記録」が残されているかどうかも疑問です。

被害範囲は今なお不明

Axiomの声明には、影響を受けたユーザーの規模について言及されていません。これはより深刻な懸念を引き起こします：もしBroox Bauerが情報を閲覧できるのなら、他の社員はどうでしょうか？報告書に記載されたモデレーターGownoと別のビジネス開発社員Ryanは彼の共犯者であり、この権限の濫用が比較的容易であることを示唆しています。組織のガバナンス構造が「信頼」に基づいている場合、内部の腐敗の限界コストは非常に低くなります。

権限は形骸化？Web3新興企業のデータガバナンスのブラックホール

このスキャンダルの核心をさらに検討します。ZachXBTの報告書に記載されたバックエンドでアクセス可能なデータの次元は驚愕です：ユーザーの完全なウォレットリスト、ユーザーが追跡しているウォレット、完全な取引履歴、ユーザーが設定したウォレットのメモ名、関連アカウント。このリストは取引データだけでなく、ユーザーの完全なオンチェーン行動パターンを再現するのに十分な情報を含んでいます。

伝統的な金融機関では、このようなデータへのアクセスは厳格な「最小限の必要情報原則」に制約されています。明確な業務上の必要がない限り、従業員は顧客の敏感情報にアクセスしてはならず、すべてのアクセス行為は監査可能な操作ログとして残され、定期的にコンプライアンス部門によって抽出されます。このメカニズムの設計論理は非常にシンプルです：それは従業員の個人的な道徳水準に依存せず、技術と制度の二重の制約によって、問題が発生する前に損害の範囲を縮小します。

Axiomのバックエンドは明らかにこの基準を満たしていません。さらに考慮すべきは、このような問題がWeb3の新興企業においては個別の事例ではないということです。急速に拡大するチームは、しばしばエンジニアリングリソースを製品のイテレーションに集中させ、コンプライアンスやデータガバナンスの構築は後回しにされ、さらには「上場後に考える」と見なされることさえあります。しかし、プラットフォームの規模がAxiomのような大きさに達すると、バックエンドツールがアクセスできるデータの敏感性は初期段階をはるかに超えており、防護メカニズムの構築はしばしば創業期の水準に留まっています。

今回のケースは、Web3特有の不条理な逆説を明らかにしています：オンチェーンの透明性は、オフチェーンの透明性とは決して同じではありません。ブロックチェーンは取引に「匿名の透明性」を与え、誰もがアドレスの流れを見ることができる一方で、その背後にある実体を洞察することは困難です。しかし、真のリスクはユーザーが登録を完了し、ウォレットを結びつけ、メモを設定する瞬間に発生します：彼らは「このアドレスの所有者は私である」という最も重要な対応関係をプラットフォームの中央集権的なデータベースに渡してしまいます。

その後、匿名性は徐々に幻想となります。このアイデンティティがより多くの情報に関連付けられ、より多くのラベルが貼られ、さらには濫用されると、オンチェーンの透明性はユーザーを保護することはなく、むしろ加害者の手中で最も正確な道具となります。

プロトコルレベルの非中央集権は、企業のそれとは決して同じではない

Axiomのスキャンダルは、単なる数人の社員の個人的な不正を暴露するものではありません。それはむしろ、Web3業界全体が「非中央集権」の物語の下で長年回避してきた重大な矛盾を映し出す鏡のようなものです：プロトコルレベルの非中央集権は、企業運営レベルの非中央集権とは決して同じではありません。

あるプラットフォームのビジネスの核心が依然として中央集権的なバックエンドシステム、人工カスタマーサービス、従業員の判断に依存している場合、「DeFi」や「Web3」というラベルは前面の装飾に過ぎません。ユーザーはスマートコントラクトの改ざん不可能性を信じていますが、個人情報の入力を完了し、ウォレットを結びつけた瞬間に、彼らは最も重要な情報を完全に中央集権的な組織に渡してしまったことを忘れています。

信頼は決して無料ではありません。制度が成熟していない場所では、信頼コストを負担するのは常に情報の非対称性が最も高い側です。

--価格

Muskの「Western WeChat」Xチャットを使用する前に、この3つの質問を理解する必要があります

X Chatは今週金曜日にApp Storeでダウンロード可能になります。メディアはすでに機能リストを取り上げ、自滅メッセージ、スクリーンショット防止、481人グループチャット、Grok統合、電話番号なしの登録など、「西側のWeChat」と位置づけている。しかし、どの報告でもほとんど取り上げられていない疑問が3つある。

Xの公式ヘルプにまだかかっている一文があります:「悪意のある内部関係者やX自身が、法的な手続きによって暗号化された会話が暴露された場合、送信者と受信者の双方にまったく気付かれない」

質問一この暗号化はSignalの暗号化と同じですか？

いいえ。違いは鍵の保存場所にあります。

Signalのエンドツーエンド暗号化では、鍵がデバイスから離れることはありません。X、裁判所、または外部のいかなる当事者もあなたの鍵を保持しません。シグナルのサーバーはあなたのメッセージを解読するものがないたとえ召喚されたとしても過去の召喚記録から証明されるように登録タイムスタンプと最後の接続時間しか提供できない

X ChatはJuiceboxプロトコルを使用している。このソリューションでは、キーを3つの部分に分け、それぞれXが運営する3つのサーバーに格納します。PINコードでキーを回復する際に、システムはXのサーバーからこの3つのシャードを取り出して再結合します。どんなに複雑な暗証番号であっても、Xはユーザーではなく鍵の実際の保管者です。

これが「ヘルプページの文章」の技術的背景である：鍵はXのサーバー上にあるため、Xはユーザーが意識することなく法的手続きに対応する能力を持っている。Signalにはこの機能はありません。ポリシーが原因ではなく、単にキーがないためです。

次の図は、Signal、WhatsApp、Telegram、X Chatのセキュリティメカニズムを6つの次元で比較したものです。Xチャットは、プラットフォームが鍵を保持している4つの唯一のものであり、Forward Secrecyがない唯一のものである。

Forward Secrecy の意義は、ある時点で鍵が漏洩したとしても、各メッセージは一意の鍵を持っているため、過去のメッセージを解読できないという点である。SignalのDouble Ratchetプロトコルは、X Chatに欠けているメカニズムで、メッセージごとにキーを自動的に更新します。

2025年6月にXChatアーキテクチャを分析した後、ジョンズ・ホプキンス大学の暗号学教授マシュー・グリーンは「XChatをエンドツーエンドの暗号化スキームとして判断した場合、これはかなりゲームオーバータイプの脆弱性のように思える」とコメントしている。彼は後に「現在の暗号化されていないDMを信用するのと同様に、私はこれを信用しない」と付け加えた。

2025年9月のTechCrunchのレポートから、2026年4月に運用を開始するまで、このアーキテクチャに変更はありませんでした。

Musk氏は2026年2月9日のツイートで、X Chatのローンチ前にX Chatの厳格なセキュリティテストを受け、すべてのコードをオープンソース化すると約束した。

4月17日のローンチ日時点では、独立した第三者監査は完了しておらず、GitHub上に公式コードリポジトリも存在せず、App Storeのプライバシーラベルでは、X Chatが位置情報、連絡先情報、検索履歴を含む5つ以上のカテゴリーのデータを収集していることが明らかになっており、「広告なし、トラッカーなし」というマーケティング上の主張と真っ向から矛盾しています。

課題2：グロクはあなたがプライベートで何をメッセージしてるか知ってるの？

継続的な監視ではなく、明確なアクセスポイント。

Xチャットのすべてのメッセージについて、ユーザーは長押しして「グロクに尋ねる」を選択できます。このボタンをクリックすると、メッセージはプレーンテキストで Grok に配信され、この段階で暗号化された状態から暗号化されていない状態に移行します。

この設計は脆弱性ではなく特徴である。ただし、X Chatのプライバシーポリシーには、このプレーンテキストデータがGrokのモデルトレーニングに使用されるのか、Grokがこの会話コンテンツを保存するのかは記載されていません。「グロクに尋ねる」を積極的にクリックすることで、ユーザーはそのメッセージの暗号化保護を自発的に解除している。

構造的な問題もあります。このボタンは「オプション機能」から「既定の習慣」にどれだけ早く移行しますか？Grok の返信の品質が高いほど、ユーザがそれに依存する頻度が高くなり、暗号化保護から流出するメッセージの割合が増加する。X Chatの実際の暗号化強度は、長期的にはJuiceboxプロトコルの設計だけでなく、ユーザーが「Ask Grok」をクリックする頻度にも依存する。

課題3：Android版がないのはなぜですか?

X Chatの初期リリースはiOSのみをサポートしており、Android版はタイムラインなしで「近日公開」と表示されるだけです。

世界のスマートフォン市場では、Androidが約73 ％、 iOSが約27％のシェアを占めている（IDC/Statista、2025年）。WhatsAppの月間アクティブユーザー数31億4000万人のうち、73％がAndroidを利用している（Demand Sage調べ）。インドでは、WhatsAppは8億5400万人のユーザーをカバーし、Androidの普及率は95%を超えています。ブラジルでは1億4800万人のユーザーがおり、そのうち81％がAndroid、インドネシアでは1億1200万人のユーザーがおり、87％がAndroidを利用している。

世界の通信市場におけるWhatsAppの優位性は、Android上に構築されています。Signalは月間アクティブユーザー数が約8500万人で、Androidが優勢な国のプライバシー意識の高いユーザーにも主に依存しています。

Xチャットはこの戦場を回避し、2つの解釈が可能であった。1つは技術的な負債で、X ChatはRustで構築されており、クロスプラットフォーム対応の実現は容易ではないため、iOSを優先することがエンジニアリング上の制約になる可能性がある。もう1つは戦略的な選択です。iOSが米国で55%近いシェアを占めている中、Xのコアユーザーベースは米国です。iOSを優先するということは、Androidが支配する新興市場やWhatsAppと直接競争するのではなく、コアユーザーベースに集中することを意味します。

この2つの解釈は互いに排他的ではなく、同じ結果をもたらします。X Chatのデビューは、世界のスマートフォンユーザーベースの73％を喜んで没収した。

イーロン・マスクの「スーパーアプリ」

この問題については、次のような意見も聞かれます。X Chatは、X Money、Grokとともに、既存のインフラに平行してクローズドループ型のデータシステムを作る3連綿を形成し、WeChatエコシステムとコンセプトが似ている。この評価は新しいものではありませんが、X Chatの提供開始により、回路図を見直す価値があります。

X Chatは、誰が誰とどのくらいの時間、どのくらいの頻度で話しているかなどの情報を含むコミュニケーションメタデータを生成します。このデータはXのIDシステムに流れ込んでくる。メッセージコンテンツの一部は Ask Grok 機能を通過し、Grok の処理チェーンに入ります。金融取引はX Moneyで処理され、3月に外部公開テストが完了し、4月に一般公開され、Visa Direct経由で法定ピアツーピアの送金が可能となった。Fireblocksの幹部は、現在米国の40以上の州で送金ライセンスを保持しており、年末までに暗号通貨決済を稼働させる計画を確認した。

WeChatの機能はどれも中国の規制の枠組みの中で動いています。マスク氏のシステムは欧米の規制の枠組みの中で運営されているが、政府効率局（DOGE）の長官も務めている。これは微信のレプリカではありません同じ論理を異なる政治的条件下で再現したのです

違いは、WeChatがメインインターフェイスで「エンドツーエンド暗号化」を明示的に主張したことがないのに対し、X Chatはそう主張している点だ。ユーザーの認識における「エンドツーエンド暗号化」とは、プラットフォームさえ誰もあなたのメッセージを見ることができないことを意味します。X Chatのアーキテクチャ設計はこのユーザーの期待に沿わないが、この用語を使用している。

X Chatは、「この人は誰で、誰と話していて、そのお金はどこから来て、どこへ行くのか」という3つのデータラインを1つの企業の手に集約する。

ヘルプページの文章は、技術的な指示だけを示したものではありません。