NFTは、所有権の在り方やブランドと消費者の関わり方、そしてまったく新しい形態のコマースを生み出す可能性を秘めています。NikeやStarbucksからYuga LabsやMoonbirdsに至るまで、優れたNFTはコミュニティに独自の体験と喜びをもたらしています。
しかし、NFT は新興のエコシステムであり、他のあらゆる新興エコシステムと同様に、ときに注意すべき悪意ある詐欺師を引き寄せてしまうことがあります。
NFTプラットフォームで最も一般的な詐欺パターンの一つは次のとおりです（下の画像を参照）：
詐欺師は、最近のNFTドロップで盗まれたクレジットカード情報や暗号資産ハッキングで得た資金を使ってNFTを購入する。詐欺師はそのNFTをマーケットプレイスに出品し、元の販売価格より安い価格で売りに出すこともある。購入者は正当な資金を使って、詐欺師が出品したそのNFTを購入する。詐欺師はその資金を受け取り、それをNFT販売による正当な収益だと主張できてしまう。
NFTクリエイター、ブランド、そしてマーケットプレイスは、しばしばこの種の不正行為に対処するためのツールを自前で構築せざるを得ません。しかし同時に、彼らは決済システムのさじ加減ひとつに左右されてしまいます。
NFT における不正の問題は、優良なユーザーにとって大きな摩擦を生み出しています。カード決済を利用する場合、NFT マーチャントは 10 人中少なくとも 2 人の優良な顧客を断らざるを得ないことが多く、ときには 10 人中 5 人にも上ることがあります！Activant Capital の投資家の一人である Andrew Steele は、これについて自身の ブログで非常にわかりやすくまとめています。
「小売店でそのTシャツを買うのに、今日は運がいい日かどうかコインを投げて確かめる人なんていませんよね。でも、いま暗号資産やNFTを買うときには、まさにそれと同じことが起きているんです！」
不正行為は決済にかかる「税金」のようなもので、資金を動かすことを高くつくものにしています。なぜなら、決済プロセッサーやエコシステムに関わるすべての参加者が、不正を防ぐために貴重な時間・資金・リソースを費やさなければならないからです。
「あらゆる不正の問題は、突き詰めればすべてデータの問題である。」
そして、私たちはデータの課題を解決することが大好きです。
Autograph で行ったように、それを解決する方法はいくつかあります
私たちは、Autograph が実施した Tom Brady Signature 体験型NFTのローンチで提携できたことに大変ワクワクしていました。Sardine を利用することで、お客様は数回クリックするだけで、クレジットカード／デビットカードを使って750ドルでTom BradyのNFTを直接購入することができました。
ここで一連の流れをすべてご覧いただけます。また、こちらからトム・ブレイディのSignature Experienceに参加することもできます: https://www.autograph.io/tom-brady.
私たちにとって最も興味深い指標はコンバージョン率でした。
当初は決済システムが85％のコンバージョン率を達成できるように見えていましたが、パートナーであるSardineと緊密に連携することで、Sardineはそれを実現することができました
- ユーザーの98％がSardineによって不正ではないと判定されました
- 購入完了までの消費者コンバージョン率を94％に向上させます
暗号資産やNFTの分野では、クレジットカード決済による暗号資産やNFTの購入コンバージョン率が50％未満と極めて低いため、これは前例のないことです。その結果、購入の放棄が大きな問題となっており、ここでの摩擦を減らすことが極めて重要になります。
どのようにしてこれほど高いコンバージョン率を達成したのか？
Sardine の主張は、決済と不正防止は本質的に同じコインの表と裏だということです。
不正行為の仕組みを深く理解すれば、支払いは自然とうまくいくようにできる。
カードからNFTへ直接購入
この高いコンバージョン率の主な理由は、Autograph と協力して、共通の顧客が法定通貨で直接 NFT を購入できるように設計したことです。他の NFT マーケットプレイスでは、一般的な購入フローは「カード → USDC/ETH → NFT」となっています。こうした代替フローでは、「カード → USDC/ETH」の区間でのコンバージョン率が 50％未満であるため、全体のコンバージョン率が低下してしまいます。
不正対策のペネトレーションテスト
高いコンバージョン率を達成できた主な理由のひとつは、不正防止のためにローンチ前の準備を徹底したことです。その結果、承認のためにプロセッサーへ送信されるのは健全なトランザクションのみに絞り込まれました。
- 私たちはさまざまなペネトレーションテストを自社システムに対して実施し、詐欺師がどのように悪用できるかを確認しました
2. 何百ものベロシティルールを作成し、詐欺グループを検知するために機械学習モデルをチューニングしました。狙いは次のようなものです：
デバイスの再利用、ブラウザー／デバイスのフィンガープリントの再利用、音声フィンガープリントの再利用、類似したIPアドレスの使用、同一のメールアドレスや電話番号の使用、そして同じ発行体のカードがまとめて盗まれることが多いため、カード番号の最初の6桁と最後の4桁が同じカードの件数（ベロシティ）のカウント
ベロシティルールとは、同じデバイスやIPアドレス、あるいは同じデータポイントが、何回購入を試みたかを確認するための仕組みです。
不正防止と連携
コンバージョン率を向上させる最良の方法は、業界全体で協力することです。
それは、ユーザーがインターネット上で何かを購入する際にカードを利用すると、そのカードは少なくとも4回（場合によってはそれ以上）の不正検知チェックを受けるからです。
- 加盟店（Sardine が Autograph を支えています）
- マーチャントプロセッサー
- ネットワーク（例：Visa や Mastercard）
- カード発行会社（例：Chase、WellsFargo など）
プレローンチの段階では、コンバージョン率はおよそ85％前後で推移していました。
私たちは却下されているユーザーを詳しく調べ始め、そのうち約9％はSardineでは承認されているものの、当社のマーチャントプロセッサーによって却下されていることに気付きました。
当社の不正対策チームはすぐにその9％のユーザーを精査し、彼らが優良ユーザーであり、したがって誤った却下（フォルスディクライン）であると判断しました。その結果、当社はマーチャントプロセッサーと連携し、彼らの不正チェックの多くがすでにSardineで実施しているチェックと重複していたため、これらの不正チェックを停止してもらいました。
得られた教訓：大規模なNFTローンチを行う場合は、必ず本番ローンチの数時間前にプレローンチを実施し、その段階でプロセス改善点を見つけておきましょう。
不正防止とインセンティブ
暗号資産のカード購入におけるコンバージョン率は 50％未満と非常に低く、その主な理由の一つは、カードネットワークが暗号資産を「ハイリスク」の加盟店区分（MCC）として扱っていることです。
これらの却下率について詳しく知りたい方は、Adi のブログをチェックしてください こちら.
カードネットワークの不正検知アルゴリズムは、暗号資産を購入するさまざまなカード利用者を見分けることができず、すべての利用者に同じように高いリスクスコアを与えてしまいます。Visa ではスコアは 0〜99 の範囲で、Mastercard には 0〜999 の独自のリスクスコアがあります。
さらに、発行銀行はネットワークのリスクスコアを自社の不正検知アルゴリズムに取り込み、その結果として取引を拒否する可能性が高くなります。
その購入者がこれまでどれほど良く、あるいは悪く振る舞ってきたかは関係なく、同じリスクスコアが与えられます。
不正防止の経験があったおかげで、決済代行会社が私たちを信頼し、重複していた不正対策を緩和してくれた結果、コンバージョン率を向上させることができたのは大きな発見でした。
もしカードネットワーク（Visa/MC）や何百もの発行銀行に対しても同じことができるとしたらどうでしょうか。つまり、私たちへの信頼が他者へと「伝播する（推移する）」ものになったらどうでしょうか？
実は、加盟店からカード発行会社へ信頼を移転するために使える、すでに存在しているプロトコルがあります——3D Secure。しかし、なぜそれがもっと広く採用されてこなかったのでしょうか？
3Dセキュア――米国における簡単な歴史
3DD Secure（3DS）は、チェックアウト時に追加のステップを設けることで、不正利用を減らし、承認率を高めるのに役立ちます。購入者には、銀行で本人認証を行うよう求めるウィンドウが表示されます。（もし利用したことがなければ、オープンバンキングでの認証とかなり似ています。）調査では、示されていますこのステップによって不正被害の最大85％を防止できる可能性があることがわかっています。>
残念ながら、米国での3DSの導入状況はひどいもので、（米国のEC取引の37％が3DSを利用しているのに対し、約ヨーロッパでは85％です）。
その結果、ほとんどのユーザーは銀行からの3Dセキュア（3DS）認証メッセージを受け取ることすらなく、大きな摩擦や購入放棄につながっています。ユーザーの74％が、支払いを中止したことがあり、不正利用への懸念や、加盟店と発行銀行の間でデータが共有されないことが原因で、正当なユーザーであっても取引を拒否されることがよくあります。
3DS に関するもう一つの問題は、インセンティブの構造です。加盟店が 3DS を利用して不正の責任をカード発行会社に移すと、当然ながら発行会社側の不正検知アルゴリズムははるかに厳格になり、承認却下が増え始めます。彼らとしては、最終的な責任が自分たちにある以上、可能な限り不正リスクを負いたくないのは当然です。また、多くの大手加盟店は、質の悪いトラフィックだけを 3DS に回す傾向があり、その結果、機械学習アルゴリズムは 3DS を「リスクの高いフロー」として学習してしまいます。
しかし、協力することでこの状況を改善できます。
3Dセキュア――英国／EUにおける簡単な歴史
英国とEUでは3DSecureの導入がより広く進んでいますが、その結果として、現地のインセンティブ設計が発行銀行により大きな負担を強いる形になっています。先日、大手EU銀行とのデモコールの最中に耳にしたところによると、彼らの不正検知モデルや損失は、Revolut、Monzo、Starlingといったネオバンクに押しつぶされるような状況になっているそうです。詐欺師たちは、ハイストリート（実店舗型）銀行のカードからネオバンクの口座へ資金を移し替えています。ネオバンク側はデフォルトで3DSを発動し、その責任をハイストリート銀行に転嫁します。その結果、ハイストリート銀行は、不正かどうかを見極めるために、同じ1ドルを守るのにもより多くの労力をかけなければなりません。さらに、英国／EUにおけるインターチェンジ手数料率の低さも相まって、この問題はいっそう深刻化しているのです！
データ専用3Dセキュアプロトコルの時代へ
インセンティブのおもしろいところは、どんなふうに定義しても、人間は必ずその仕組みをうまく利用して抜け道を見つけてしまうという点です。私たちは、3DS も同じ問題を抱えていると主張しています。
したがって、今こそデータ専用の3DSプロトコルが求められています。
これが、私たちが想定する仕組みです。
1. Sardineは、カードへの入金や購入時に豊富なデータを収集します（例：）
カード情報がコピー＆ペーストされたか（不正利用の可能性が高い）、それとも自動入力されたか（正当な利用の可能性が高い）か、顧客がプロキシを使用していたかどうか（不正利用の可能性が高い）、マウスの動きやジャイロスコープ／加速度センサーのデータが一切ないこと（スクリプトや仮想マシンの使用を示唆）などを確認します。
2. これらのシグナルと Sardine の不正スコアを併せてカードネットワークに渡すことで、Visa/MC はそれぞれ自社の Visa/Mastercard スコアを算出する際に、当社のスコアを追加の判断材料として活用できるようになります。
3. さらに良いことに、Visa/MC はこの付加価値の高いデータを発行銀行に渡すことができ、発行銀行は現在暗号資産の購入可否を決める際に行っているほとんどコイン投げのような判断よりも、はるかに的確な判断を下せるようになります。
全体として、インセンティブを行ったり来たりさせるよりも、データ専用の3DSレールの方が、エコシステム内のすべての参加者の利害をはるかにうまく一致させられると考えています。
しかし、これは依然として誰かが不正の責任を負う必要があることを意味します。そして、それこそが私たちの長期的なビジョンの一部なのです――単にスコアリングを行うだけでなく、その不正リスクを引き受けることで、エコシステム内のすべての参加者にとって送金コストを引き下げることを目指しています！
あらゆる不正は、データの可視性の問題です。私たちは協力することで、不正に光を当て、より多くの不正を見つけ出すことができます。そして協力できれば、支払いを即時かつリスクのないものにできます。
これはサーディンだけの話ではありません。
これはエコシステム全体に関わることです。
攻撃者による不正行為を減らすことで、すべての人の体験がより良いものになります。
ひと言メッセージをお送りください（soups@sardine.ai）、またはお問い合わせフォームからご連絡いただければ、詳しくお話しできます。