はじめに（この記事で分かること）#

AI APIの利用料をクレジットカードで支払うと、カード会社に利用先と金額が残る。プライバシーを重視する開発者にとって、これは避けたい痕跡の一つだ。

暗号資産での決済を受け付けているAI APIサービスは少なくないが、対応する通貨はサービスごとに違う。中にはUSDCのみを受け付けるサービスもある。OpenRouterは、複数の大規模言語モデル（LLM）を単一のAPIで扱えるアグリゲーターだが、暗号資産決済はUSDCのみを受け付けている。

Monero（XMR）を入手してUSDCに変換し、OpenRouterに支払うまでの流れを、仕組みとリスクの両面から整理する。手元のMoneroが、どの相手に何を見せながら、最終的にAPIのクレジットになるのかを段階で追うことが目的だ。

前提: 脅威モデルの整理#

この支払いフローに関わる相手は、主に3者だ。

スワップサービス（ここではChangeNOWを例にする）は、XMRをUSDCに変換する。利用者から送られたXMRの量、受け取るUSDCアドレス、金額、時刻、そして接続元のIPアドレスを知りうる立場にある。Moneroの台帳上で流れが隠れていても、交換の時点の記録はサービスに残る。

Coinbaseは、OpenRouterの決済代行を担う。支払い元のUSDCアドレス、金額、チェーン上の取引ハッシュを知りうる立場にある。

OpenRouterは、APIの提供者だ。Coinbaseの加盟店向けAPI/Webhookは取引ハッシュを返すため、OpenRouterはクレジット購入を公開台帳上の取引と対応づけられる立場にある。

脅威モデル入門の言葉で言えば、このフローで守るべき資産は「支払いの経路とアカウントの紐付き」だ。どの相手に何を見せるかを区別することが、この記事の軸になる。

OpenRouterの決済の仕組み#

OpenRouterのFAQは、決済手段として主要クレジットカード、AliPay、そして「cryptocurrency payments in USDC」を挙げている。対応する暗号資産はUSDCのみで、BitcoinやEthereumは受け付けていない。Moneroも受け付けていない。クレジットの購入額は、規約第4.1条により1回あたり$5から$25,000の範囲だ。

OpenRouterの暗号資産決済は、Coinbaseの支払いページを経由する。利用者が/settings/creditsページで「Use crypto」を有効にし、金額を入力してPurchaseを押すと、payments.coinbase.com/payment-sessions/...という形式の支払いリンクが生成される。ウォレットとの接続は、OpenRouter側ではなくこのCoinbase側のページで行う。

OpenRouterの規約（2026年8月31日版）は、第4.1条で「Cryptocurrency payments are never refundable」と定めている。暗号資産で支払った場合、送金の失敗や誤操作があっても、資金が戻る保証はない。同じ条項にある、未使用のクレジットを購入から24時間以内に返金申請できる制度は、暗号資産での支払いを対象外としており、プラットフォーム手数料も返金されない。

支払いリンクは、OpenRouterにログインした状態でしか生成できない。旧APIエンドポイント（POST /api/v1/credits/coinbase）は、Coinbase Commerce APIの廃止に伴って無効化され（HTTP 410を返す）、リンクの生成はウェブ画面上の操作に一本化された。API経由での自動化は現時点ではできない。

生成済みの支払いリンクの有効期限は、執筆時点で文書化されていない。手数料については、OpenRouterのFAQと公式の告知が、暗号資産での購入に5%の手数料がかかると説明している（2026年11月1日確認。プランによる違いは料金表で確認する必要がある）。この手数料は、交換サービスの手数料やスプレッドとは別にかかる。

アカウントの匿名化#

OpenRouterのアカウントは、メールアドレス、Googleアカウント、GitHubアカウントのいずれかで作成できる。GoogleやGitHubでのログインは、そのアカウントの実名や既存の活動と結びつく。匿名性を保ちたい場合は、匿名メールで作成したアドレスを使い、Google・GitHubログインを使わないのが合理的だ。

OpenRouterの規約は、アカウントのなりすましや複数アカウントの作成を禁じている。実名の登録を明文で求める条項は、執筆時点で確認できていない。ただし、匿名メールでの登録が規約上許容されるかどうかは、サービス側の運用と方針の変化に依存する。利用者の名前がサービス側の記録に残らないだけでなく、決済手段からも実名が切り離されている状態を作ることが、この記事が目指す整合性だ。

XMRからUSDCへの変換#

変換後のUSDCを受け取るアドレスは、OpenRouterへの支払いに使う専用のものにする。取引所や他の用途で使ったアドレスにUSDCを受け取ると、そのアドレスに既に紐付いている名前が、支払いの記録に混入する。

XMRの入手とスワップサービスの選択は、Moneroの入手方法で説明した経路と基準に従う。変換の間だけ資金を預かる構造は、MoneroからBitcoinに変換して支払う方法で説明したものと同じだ。

ここで、スワップサービスの規約を事実として押さえておく必要がある。ChangeNOWの利用規約（2026年9月18日更新）は、第3.2条で、EU、米国、日本、韓国、シンガポール、香港、UAE、豪州、カナダの居住者に対し、サービスを使う前に本人確認を済ませることを求めている。第2.7条は、IPアドレスを隠すためのproxyやVPNなどの使用を禁じ、第2.9条は、規約に違反した利用者をブロックする権利をサービス側に与えている。同社のAML/KYCポリシーは、異常な取引を保留し、身分証や資金の出所を示す書類を求めることがあるとしている。

日本に住む読者がこのフローを規約の範囲で使うなら、ChangeNOWでは本人確認を経ることになる。その場合、交換の記録は本人確認済みの名前と直接結びつき、この記事で整理する「誰が何を見るか」の出発点に名前がつく。VPNやTorで接続元を隠して本人確認を避ける使い方は、規約違反にあたり、ブロックや資金の保留の理由になりうる。この記事は、そうした使い方を案内するものではない。

チェーンの一致（Base）#

ここが、この支払いフローで最も失敗しやすい箇所だ。原則は一つで、支払いページが指定する通貨・チェーン・トークンに、送る資産を一致させることだ。運営者が2026年11月に生成したCoinbaseの支払いリンクはUSDC on Baseのみを受け付けていた。CoinbaseのCheckout APIの仕様でも、ネットワークの選択肢はBaseだけだ。一方でCoinbaseの移行FAQには複数チェーンのUSDCへの言及があり、OpenRouterが生成するすべてのリンクが今後もBase限定だとは断定できない。指定と違うチェーンのUSDCを送っても、決済は完了しない。

チェーンの不一致は、エラーを返さないことがある。送金自体は完了し、ブロックチェーンには記録される。ただし、OpenRouterのクレジットには反映されない。資金はブロックチェーン上に残るが、送った側がチェーン間の転送で取り戻せるものではない。資金の行き先は受取側の管理下にあり、返金が行われるかどうかは、Coinbaseの方針と問い合わせの結果次第だ。

同じBase上でも、Circleが発行するUSDCと、旧ブリッジ経由のUSDbCは別のトークンだ。リンクが指定するのはUSDCであり、USDbCは決済に使えない。チェーンとトークンの確認は、送金前の最後の工程として行う。

Moneroの入手方法の運営者の利用記録には、アグリゲーター経由の送金で入金が検知されず、資金を失った経験を書いている。原因は違うが、送った資金が反映されず、回収が保証されない点は、チェーンの不一致でも同じだ。

支払いの実行#

支払いページが指定するUSDCを用意したら、OpenRouterが生成したCoinbaseの支払いページに接続し、ウォレットで署名して支払いを完了する。ウォレットの接続はCoinbase側のページで行われる。OpenRouter自体は利用者のウォレットに触れない。

Coinbaseの支払いページでは、決済が完了するとOpenRouterのクレジットが反映される。反映の遅延が発生することがあり、OpenRouterのFAQは暗号資産での支払いが反映されない場合の問い合わせ先としてsupport@openrouter.aiを案内している。

ウォレットをCoinbaseのページに接続すると、ウォレットが使うRPC提供者（例えばMetaMaskが使うInfura）に、IPアドレスとアドレスの組が渡る可能性がある。これは各ウォレットの実装とプライバシーポリシーによるもので、推測を含む。ウォレット側の通信経路は、チェーン上の記録とは別の情報経路だ。

サードパーティの中継サービス（ROZOなど）を挟むと、リンクが対応していない別のコインや別のチェーンから支払える場合がある。中継業者が1つ増えるだけで、手数料の二重取りと資金を中継先に預けるリスクが加わる。以下は、中継を挟まない支払いを前提にする。

誰が何を見るか#

この支払いの流れを、各区間で「誰が何を見るのか」に分解する。

区間見る者見えるもの
Moneroの入手スワップサービス（ChangeNOWなど）送り元のBitcoinの履歴、送り先のXMRアドレス、金額、時刻、IPアドレス
XMR → USDCの変換スワップサービス送り元のXMRの量、受取先のUSDCアドレス、金額、時刻、IPアドレス
USDCの保持公開チェーンの観測者（誰でも）アドレス間のUSDCの移動、金額、時刻。持ち主はチェーン上の記録だけでは分からない
USDC → OpenRouterへの支払いCoinbase（決済代行）支払い元のUSDCアドレス、金額、チェーン上の取引ハッシュ
ウォレットの接続ウォレットが使うRPC提供者（推測）IPアドレスとアドレスの組
クレジットの反映OpenRouterCoinbaseの加盟店向けAPI/Webhookから取得しうる取引ハッシュと、アカウントの対応
ウェブ画面とAPIへのアクセスOpenRouterIPアドレス、ブラウザの情報、Cookie、リクエストのメタデータ（同社のプライバシーポリシーとデータ収集の説明に記載）
OpenRouterのAPI利用OpenRouterAPIキー、利用したモデル、使用量

公開チェーン上でUSDCの移動は誰でも読める。ただし、そのアドレスの持ち主が誰かは、チェーン上の記録だけでは分からない。分かるのは「このアドレスからCoinbaseにUSDCが送られた」という事実だ。そのアドレスに名前がつくのは、スワップサービスとのつながりを解析されたとき、あるいは利用者自身がそのアドレスを他の文脈で公開したときだ。

ここで一つ、正確を期すべき点がある。支払い元のUSDCアドレスは、スワップサービスのペイアウトウォレットから出るものではない。このフローでは、利用者がスワップサービスから受け取ったUSDCを、自分の専用アドレスにいったん受け取る。支払いはその専用アドレスから行われる。つまり、支払い元アドレスは利用者自身のアドレスであり、それをスワップサービスと結びつける記録は、スワップサービス側に残っている。スワップサービスの記録と公開台帳の記録を突き合わせれば、XMRの入金、接続元のIPアドレス、USDCアドレス、OpenRouterへの支払いをつなげられる可能性がある。XMRをどこで入手したかまで遡れるかどうかは、入手経路の側の記録しだいだ。

ChangeNOW側はAML審査を持ち、Moneroの入手方法で説明したとおり、条件次第で本人確認を求める。日本の居住者には規約上、利用前の本人確認が必須だ。本人確認を経た場合、スワップサービスの記録は本人確認済みの名前と結びつき、支払い元アドレスは最初から名前のついたアドレスになる。

USDCの凍結リスク#

USDCの発行元Circleは、契約に基づき特定のアドレスをブロック（ブラックリスト化）できる。USDC Termsは、Circleが違法活動に関連すると判断したアドレスをブロックし、そのアドレスのUSDCを凍結（一時的または恒久的）する権利を定めている（「Blocked Addresses & Forfeited Funds」）。

ブロックの対象は個々のアドレスだ。利用者自身のアドレスがブロックされれば、そこにあるUSDCは動かせなくなる。スワップサービスのペイアウトウォレットがブロックされた場合は、そこからの送金ができなくなるため、交換の受け取りが止まりうる。すでに利用者のアドレスに届いているUSDCが、送り元のブロックによって連動して凍結されるとは、USDC Termsには書かれていない。凍結されたUSDCの扱いは、Circleの手続きに依存する。

これはMonero固有のリスクではなく、発行者がブロックの権限を持つトークンを保有することに伴うリスクだ。USDCを長期保有する場合、発行元の凍結リスクは無視できない。

運営者の利用記録#

この記事で説明したフローは、このサイトの運営者が実際に使っているものだ。以下は2026年11月時点での記録で、特定のサービスを勧めるものではない。

OpenRouterは、複数のLLMを単一のAPIキーで使える点で日常的に利用している。暗号資産での支払いは、ChangeNOWでXMRをUSDCに変換したうえで行った。交換にアカウントの作成やメールアドレスの入力は求められず、所要時間は10分前後だった。交換の経路そのものの記録は、Moneroの入手方法の運営者の利用記録に書いている。

USDC on BaseをOpenRouterのCoinbaseページに送り、クレジットが反映されるまでに数分を要した。一度、OpenRouterの画面に403「Coinbase checkout is unavailable for this account」というエラーが表示されたことがある。それより前に生成されていた支払いリンクはそのまま有効で、数時間後には解決した。エラーの原因はCoinbase側のアカウント単位の制限とみられるが、これは推測で、OpenRouterからの説明は得ていない。OpenRouterのアカウントは、実名と結びつかないメールアドレスで作成しており、Google・GitHubログインは使っていない。

この一連の流れで、支払い元のUSDCアドレスがCoinbaseに記録される。そのアドレスは、運営者がChangeNOWからUSDCを受け取った専用のアドレスだ。ChangeNOW側には、そのアドレスと交換の記録が対応づけられて残っている。

この記録は2026年11月時点の過去の利用の記録であり、ChangeNOWの現行規約（日本の居住者への本人確認の義務、IPアドレスを隠すソフトウェアの禁止）に照らした利用方法の案内ではない。規約の現行版との関係は「XMRからUSDCへの変換」の節に書いたとおりだ。

規約・法規制・税務の事実#

OpenRouterの規約（2026年8月31日版）は、第4.5条で、暗号資産で支払う利用者に、その資金源が金融犯罪その他の犯罪による収益（proceeds）でないことの表明と保証を求め、第7条で、犯罪による収益を資金源とする暗号資産でのクレジット購入を禁止行為として挙げている。この表明は、Moneroで入手した資金にも適用される。規約上の表明は資金の出所に対して行うものであり、入手経路の匿名性とは別の問題として存在する。

法規制の面では、このフローに関わる事実を三つ挙げておく。日本では、暗号資産交換業者の自主規制団体である日本暗号資産等取引業協会の規則により、移転記録の追跡が著しく困難な暗号資産は国内の登録業者では扱われていない。Moneroを入手する経路が国内業者の外側にあるのは、このためだ。国内業者からの出金では、2023年6月に施行された改正犯罪収益移転防止法の下で、送り先の情報を記録・通知する仕組みがあり、出金の画面で送り先の登録が求められる（詳しくは取引所のKYCの記事）。EUでは、マネーロンダリング防止規則（AMLR、Regulation (EU) 2024/1624）第79条1項により、2027年7月10日から、暗号資産サービス提供者は、匿名の暗号資産口座や、口座名義人の匿名化や取引の匿名化・難読化を可能にする口座（匿名性を高める暗号資産によるものを含む）を保有することを禁じられる。規制の全体像はBitcoinとMoneroの追跡可能性で整理している。

摘発の面では、追跡を難しくするサービスの運営者が刑事責任を問われている。混合機能を持つウォレットSamourai Walletの共同創業者2名は、2024年に資金洗浄の共謀と無登録の送金業を営む共謀で起訴された。米司法省は2025年8月、2人が「犯罪収益を送金していると知りながら送金業を営む共謀」の1件について有罪を認めたと発表し、同年11月に禁錮5年と4年の判決が出た。本人確認なしで口座を開けた取引所TradeOgreは、2025年9月にカナダ連邦警察に閉鎖された。いずれも、この記事で扱う通常のMoneroの保有や決済そのものを違法とする事例ではない。詳しくは仮想通貨のチェーン解析とMoneroの入手方法で扱っている。

税務の面では、この変換はXMRを譲渡してUSDCを取得する取引として扱う。国税庁のFAQは、保有する暗号資産を他の暗号資産と交換した場合や商品の購入に使った場合、手放した暗号資産を譲渡したものとして所得を計算する必要があるとしている。受け取ったUSDCの円換算額を収入、XMRの取得原価と手数料を費用として、譲渡損益を計算する。計算と記録は取引ごとに行い、申告の義務がある場合は年間の所得を集計して確定申告で行う。USDCは金融庁の一覧で電子決済手段として扱われ、暗号資産とは分類が異なるが、XMRを手放す側の譲渡として計算する考え方は変わらないとみられる（推測を含む。個別の扱いは税理士に確認する必要がある）。この記録は税務上の痕跡として残る。

限界と残るリスク#

この支払いフローは、Moneroで始めてUSDCで終わる。USDCはEthereumやBaseといった公開チェーン上のトークンであり、その移動は誰でも読める。Moneroの台帳上の匿名性は、XMRとして移動している間にしか及ばない。USDCに変換した時点で、チェーン上の匿名性は失われる。

支払い元のUSDCアドレスは、利用者自身の専用アドレスだ。スワップサービスの記録はそのアドレスと対応づけられて残っているため、スワップサービスが記録を提出する場合には、XMRの入手とOpenRouterでの支払いが結びつけられる可能性がある。そのアドレスが他の文脈で公開されていなくても、スワップサービス側の記録がその結びつきを保持している。

Coinbaseは決済代行業者として、支払い元アドレスとチェーン上の取引ハッシュを知りうる立場にある。OpenRouterはCoinbaseのAPI/Webhookから取引ハッシュを受け取れるため、クレジット購入を公開台帳上の取引と対応づけられる立場にある。実際にどこまで保存し、分析しているかは公開されていない。法定通貨との出入口を持つ事業者と同様に、Coinbaseも法的な要請を受ければ記録を提出しうる。

AI APIの利用そのものも、痕跡を残す。APIキーはアカウントに紐付き、利用したモデルや使用量はOpenRouterの記録に残る。OpenRouter自身のプライバシーポリシーとデータ収集の説明は、IPアドレス、ブラウザの情報、Cookie、リクエストのメタデータの収集と、設定や法的な対応に応じた保持を挙げている。プロンプトの内容を各モデル提供者が記録するかどうかは、提供者ごとのポリシーによる。決済の痕跡と、利用内容の痕跡は別の問題だ。

まとめ#

この支払いフローで確認できた利点は一つだ。カード会社の記録にAI APIの利用先と金額を残さずに、クレジットを買える。その代わりに残る痕跡は、本文で整理したとおり少なくない。スワップサービスは交換の記録と接続元を持ち、公開台帳はUSDCの移動を誰にでも見せ、CoinbaseとOpenRouterは決済の取引ハッシュを持つ。日本の居住者が規約の範囲でChangeNOWを使うなら、本人確認を経た名前がその出発点につく。

実行する前に確かめることも、三つに絞れる。USDCを受け取るアドレスを支払い専用に用意すること。送金先のチェーンがBaseで、トークンがCircle発行のUSDCであること。そして、使うスワップサービスの現行規約（本人確認の要件と接続手段の制限）を読み、違反する使い方をしないことだ。アドレスの使い回しはチェーン解析の記事で説明した推定の起点になり、チェーンの不一致は資金の損失につながる。

決済の痕跡を減らしても、APIの利用そのものの記録は残る。アカウントを匿名メールで作り、APIキーを用途ごとに分けることは、決済と同じ設計の中で扱う必要がある。外部サービスへの支払いで実名を切り離す考え方は、VPNを匿名で支払う方法や匿名ドメインの取得でも同じ構造で現れる。

出典#