キュラソー・ゲーミング・オーソリティ（CGA）が先週公表したサイバー攻撃は、以前マルタ・ゲーミング・オーソリティ（MGA）のシステムに侵入した経歴を持つ、自称「ホワイトハッカー」によって実行されたものである。

ベルリンを拠点とするリリス・ヴィットマン氏（30）は、22日（火）にSNS上で、協力者と共に9ヶ月間CGAの内部システムへアクセスし、「規制当局の業務をリアルタイムで監視していた」と明かした。

同氏はXへの投稿で、「職員が気づかないうちに、違法オンラインカジノの所有者や資金提供者、そして当局が彼らの運営について何を把握していたのかを閲覧できた」と述べている。

ヴィットマン氏によるCGAへのハッキングは、オランダの調査報道サイト「フォロー・ザ・マネー（FTM）」が火曜日に報じた詳細なレポートにより、1xBetやStakeの所有構造に対する疑念をすでに浮上させており、同氏はさらなる暴露を予告している。

その中には、ヴィットマン氏が「ドイツ最大の違法カジノ」と評するPlatin Casinoに関連した2億5000万ユーロ（約450億5,000万円）規模の脱税の疑いや、流出した文書からソフトウェアプロバイダーのSoftSwissが数百の違法カジノを運営する企業と密接に関係しているとの主張が含まれる。

キュラソーが残した「緩やかな規制」の遺産

カリブ海の小さな島国キュラソーは、業界の黎明期からオンラインカジノのライセンスを発行しており、規制に対して「緩やか」であることで悪名高い手法をとってきた。このモデルは、地元でライセンスを取得していない市場にサービスを提供する多数の運営者を引き寄せた一方、所有権はキュラソーの企業や信託事務所の背後に隠蔽されることが常態化していた。

オランダからの圧力を受け、キュラソーは旧来のシステムを廃止した建前となっている。これは、少数の民間企業がマスターライセンスを多数の運営者に転貸することを可能にしていた異例のサブライセンス制度であった。

しかし、FTMによれば、流出した文書はこの変革の厳格さに疑問を投げかけた。CGAの職員は、所有権に関する未解決の懸念やその他の潜在的なリスクを自ら特定していたにもかかわらず、ライセンスを承認していたことが判明した。

ファイルには、ライセンス申請書、規制当局による評価書、パスポート、納税申告書、財務情報などが含まれている。FTMは、この流出により数千のギャンブルサイトを運営する約650のライセンス取得企業について、約800人の所有者を特定する一助となったと伝えた。

ヴィットマン氏は、自身のGmailアドレスを使用しつつ、規制当局に登録済みの信託事務所マネージャーの名義を騙ることで、CGAのポータルサイトへのアクセス権を獲得している。

同氏はライセンス申請を試みるために作成した架空の企業「ドリームキャッチャー・プライベート・ファウンデーション」の代表を名乗った。わずか数日で、規制当局のポータルへのアクセスが許可される運びとなった。

その後、ヴィットマン氏はライセンスシステムを掌握し、そこに保存された情報へアクセスすることを可能にするソフトウェアをアップロードしたとFTMは報じている。

Stakeの所有権をめぐる疑問

初期の流出データは、Stakeおよび1xBetの所有権に焦点を当てた。

Stakeの創業者であるエド・クレイヴン氏とビジャン・テヘラニ氏は、暗号資産ギャンブル界で最も著名な人物だ。しかしFTMの報道では、Stakeのキュラソー法人であるミディアム・レアNVは、公式には同社のCEOとして公に知られるセルビア国籍のムラデン・ヴコヴィッチ氏が所有していることになっている。

ヴコヴィッチ氏は2024年に規制当局へ提出した情報の中で、10億ドル（約1,572億3,000万円）を超える資産を申告した。

しかしFTMによると、CGAの職員自身が、ヴコヴィッチ氏が真の単独所有者であるかどうかに疑問を抱いていたという。

彼らは、ミディアム・レアからクレイヴン氏およびテヘラニ氏に関連する企業や個人に対し、数千万ドルから数億ドル規模の融資や支払いが行われていることを特定したが、ライセンス申請書に両氏の名は記載されていなかった。

1xBetの所有権をめぐる疑問

文書は、1xBetを取り巻く同様の不透明な状況を明らかにしている。

このオフショアギャンブルの巨人は、ロシア人の創業者であるロマン・セミョーヒン氏、ドミトリー・カゾリン氏、そして2023年に死去したセルゲイ・Kalshiュコフ氏と公に関連付けられてきた。しかし、1xBetの背後にあるキュラソー法人カエクスNVの所有者兼CEOとして登録されているのは、ウクライナ国籍のイホル・フニエダシュ氏である。

FTMによれば、CGAの審査官は1xBetが「複数の所有者」を抱えていると疑い、同社に関連するロシア人たちとフニエダシュ氏との関係について情報を求めていた。

それにもかかわらず、規制当局は回答を得られないまま2024年にカエクスへライセンスを付与したとFTMは報じている。

CGAは同メディアに対し、キュラソーのギャンブル業界が新しい規制体制へ移行中であったため、疑問や不確実性が生じるたびに即座に企業を拒絶することはしなかったと説明した。

ヴィットマン氏は、キュラソーのギャンブル企業を誰が支配しているのかを明らかにすることには公共の利益があると信じ、文書を公開したと語っている。

CGAは9月17日、不正アクセスを認め、侵害を封じ込め発生源を特定したと発表している。規制当局は、フォレンジック調査が現在も進行中であり、事件の全容はまだ解明されていないとの見通しを示している。

マルタ規制当局へのハッキング

ヴィットマン氏は現在、マルタ・ゲーミング・オーソリティとの訴訟に直面した。同当局は今年初め、ヴィットマン氏がシステムの一つに不正アクセスしたことを受け、ドイツで同氏に対する仮処分命令を取得している。

この紛争は、規制当局と組織犯罪との間に疑わしい繋がりがあるとするヴィットマン氏の主張にも及んでおり、MGAはこの疑惑を根拠のないものとして否定している。