web3領域において昨今見かけることが増えた「On-chain KYC」という言葉。字面だけ追うと「本人確認情報をブロックチェーンに載せること」というイメージが浮かびますが、この言葉単体では少し不明瞭なテーマです。
On-chain KYCは、DID/VC（Decentralized Identifier / Verifiable Credentials）という大きな枠組みの一つの実装形態として捉えると理解しやすくなります。この記事では、その考え方を踏まえたうえで、ブロックチェーン上でどう実装されうるかを具体的に見ていきます。
背景：本人確認をめぐる2つの変化
デジタル上での本人確認をめぐっては、ここ数年で状況が大きく変わってきました。一つは、個人情報の取り扱いが年々厳しくなっていること。もう一つは、生成AIの発達により、書類画像そのものの真正性が疑わしくなってきたことです。この2つが重なった結果、「情報を安全に預かる」だけでなく「その情報が本物だと第三者が確認できる」ことの重要性が増しています。
DID/VCは、こうした流れの中で標準化が進められている技術で、身元確認まわりの公的な取り組みでも採用が広がりつつあります。
On-chain KYCの実像：eKYCして、証明書を発行して、使い回す
DID/VCの考え方を、本人確認（KYC）というシーンに当てはめたものが、いわゆるOn-chain KYCの実態です。流れにすると、次のようになります。
- ユーザーがどこか一箇所でeKYC（オンライン本人確認）を受ける
- 本人確認が完了すると、発行者が「本人確認済み」という証明書を発行する
- ユーザーはその証明書を自分のデジタルウォレットに保管する（Apple ウォレットなど）
- 別のサービスを利用する際、ユーザーは保管している証明書を提示するだけで、改めて書類を提出せずに本人確認が完了する
本人確認という重い作業は最初の一回で済み、そこで得られた証明書をさまざまなサービスで使い回していく。KYCを何度も繰り返す非効率を解消する手段として、DID/VCの仕組みがフィットする、という整理です。
ブロックチェーン上での具体的な実装イメージ
概念だけだとイメージが掴みにくいので、実装パターンを見てみましょう。
「証明書」をトークンとして表現する
本人確認済みというステータスを、ユーザーのオンチェーンアカウントに紐づく「ソウルバウンドトークン（SBT）」として表現するアプローチがあります。SBTとは、NFTの技術規格（ERC-721）をベースにしながらも、他のアカウントへ譲渡できないよう設計されたトークンのことです。文字通り「魂に縛り付けられた」ように、特定のアカウントから切り離せません。
これが、「ウォレットに証明書を保管する」というDID/VCの発想と、on-chainという言葉が指す実装との接点です。証明書そのものがオンチェーン上のトークンという形で存在すれば、スマートコントラクトが直接そのステータスを参照できるようになり、さらにその証明書が複数の異なるアプリケーションで利用可能となります。
発行時には、オンチェーンで開示するのは「有効な身分証を保有しているという事実」だけにとどめ、氏名や生年月日などの個人情報は開示しない設計にすることで、プライバシーを確保できます。
発行と失効のプロセス
トークンを受け取るには、ユーザーは発行者（Attestor）を通じてKYC手続きを受ける必要があります。実務上は公的な本人確認手段（マイナンバーカードなど）を用いた確認が中心で、主に金融サービスなど不正利用対策が強く求めれる場合は、加えてAML（マネーロンダリング対策）・PEP（政治的に重要な人物）チェックも行われることがあります。
大まかな流れはこうです。
- アプリ内でトークンの発行をユーザーに提案
- ウォレットが発行者に署名用メッセージの生成を依頼
- ユーザーが秘密鍵で署名（オフチェーンで行えばガス代はかからない）
- 発行者が署名を検証
- 問題なければトークンを発行
発行後も、制裁リストやPEPデータベースへの継続的なスクリーニングを行い、懸念が見つかった場合は発行者がトークンを失効する設計にできます。個人の法的ステータスは変わりうるため、発行者側・ユーザー側の双方が焼却できるようにしておくのが望ましい設計です。
チェーンをまたいだ「使い回し」
ある発行（ミント）されたトークンを正本としつつ、他のチェーンからはブリッジ（インターチェーンメッセージング）を通じてそのステータスを照会し、Verified / Unverifiedという単純な真偽値として受け取る、という構成も可能です。
これはまさに、一箇所で得た本人確認結果を、複数のアプリケーション・複数のチェーンで使い回すという、DID/VCの「使い回し」の発想をそのまま体現した仕組みです。
プライバシーとコンプライアンスの両立
もう一つの興味深い活用例が、プライバシー保護プロトコルとの組み合わせです。パブリックブロックチェーンは取引が誰でも見える設計なので、機密性の高い取引を行う主体にとってはプライバシー上の懸念があります。一方で、こうした匿名化技術がマネーロンダリングに悪用された事例もこれまでにありました。
そこで、「特定のアカウントが、コンプライアンスを満たす集合に属していることの証明（インクルージョン・プルーフ）」という考え方が使われます。本人確認済みトークンを使えば、このインクルージョン・プルーフを個人情報を一切含まない形で、低コストに提供できます。「有効なトークンを持っているかどうか」を確認するだけで、コンプライアンスとプライバシーの両立が図れる、というわけです。
トークン型の実装をあらためて眺めると、DID/VCが本来目指している方向性がよく見えてきます。ポイントは、必要最小限の情報だけを開示しながら改ざん耐性を確保できること、そして異なるサービス・異なるチェーンの間でも「本物らしい」と検証可能な形で情報を橋渡しできることです。
技術的な語彙こそ異なりますが、発行者が本人確認を行い証明を発行する、証明はユーザーのアカウント（ウォレット）に紐づく、証明は改ざん・偽装が困難で、第三者が検証できる、一度の確認結果を複数のアプリケーションで使い回せる、という骨格は、DID/VCの考え方と重なります。
ブロックチェーン（オンチェーン）はどこに関わるのか
先ほど見たトークン型の実装では、証明書（ステータス）自体をオンチェーンのトークンとして表現している点が特徴的です。とはいえ、氏名や生年月日といった個人情報そのものがチェーン上に書き込まれるわけではありません。オンチェーンに載っているのは、あくまで「Verified / Unverified」という最小限の状態情報だけです。
この「個人情報はオフチェーンに、検証可能な状態情報だけをオンチェーンに」という設計思想が、プライバシーを守りながら検証可能性を確保するという考え方の軸になっているのです。
