著者：ジェイ、PAニュース
4月の仮想通貨業界は激動の時期を迎えた。SolanaエコシステムPerpの主要DEXであるDriftが2億8500万ドルを盗む「金曜夜のマラソン」に見舞われた直後、RAVEの市場はまるでバンジージャンプのように急落した。
RAVEブームがようやく落ち着き始めた頃、イーサリアムを代表するLRT（流動性再ステーキング）プロトコルであるKelpDAOがハッキングされ、DeFi市場は大きな打撃を受けた。
4月18日、KelpDAOはLayerZeroベースのクロスチェーンブリッジの脆弱性を悪用したハッカーによって侵害され、約11万6500rsETHが不正に引き出され、最大2億9200万ドルの損失が発生しました。この窃盗事件はDriftの事件よりも深刻で、2026年に入ってから最大のオンチェーンセキュリティインシデントとなりました。
ハッカーたちはメインネットのステーキング契約を破ったり、秘密鍵を漏洩させたりしたわけではない。クロスチェーン検証におけるごく小さな亀裂が、DeFiの複合的なリスクを引き起こしたのだ。
リステーキングのレバレッジとマルチチェーン拡張の野心により、3年間「利回り優先」の道を突き進んできたDeFiは、再び「利回り優先」か「セキュリティ優先」かという、自己を見つめ直す問いに直面している。
シングルサインオンの脆弱性がLRT危機を引き起こし、KelpDAOは3億ドル近い損失を被った。
窃盗事件の主犯格であるKelpDAOは、かつてLRT（ライトレールトランジット）の優秀な運転手だった。
そのビジネスロジックは、市場の課題に的確に対応し、「3つの機能を1つにまとめた」モデルを実現しています。ユーザーは、stETHやrETHなどのLST（流動性ステーキング）資産をrsETHにカプセル化することで、ETHステーキングによる基本的な収益を維持しつつ、EigenLayerの再ステーキング報酬を追加し、様々なDeFiレンディングやマイニングのシナリオでrsETHを利用できるようになります。
市場シェア獲得のため、KelpDAOは積極的に16のパブリックチェーンに事業を拡大してきました。高利回りかつ高流動性を誇るrsETHは、主要なレイヤー2およびAaveブロックチェーンの主流担保資産となり、イーサリアムDeFiエコシステムに深く根付いています。
このマルチチェーンアーキテクチャは、LayerZeroが提供する基盤となるクロスチェーン通信プロトコルに大きく依存しており、それが今回の災害の中心地となった。
4月20日、LayerZeroは事件の概要を発表し、KelpDAOが攻撃を受け、約2億9000万ドルの損失が発生したと述べた。初期の兆候から、この攻撃は高度な技術を持つ国家主体、おそらく北朝鮮のラザルスグループ、より具体的にはTraderTraitorによって実行された可能性が高いと示唆されている。KelpDAOはシングルシグネチャ方式を採用しているため、この事件はrsETHの設定に限定され、他のクロスチェーン資産やアプリケーションには影響を与えなかった。
一方、LayerZeroは、KelpDAOが1対1のDVN構成のみを使用しており、「単一障害点」となっていることを認め、1対1のDVN構成を使用しているすべてのアプリケーションに対し、冗長性を備えたマルチシグネチャ構成への移行を促している。しかし、LayerZeroも、これまでKelpDAOに変更を促したり、マルチシグネチャ構成を強制したりしなかったことについて、一定の責任を負っている。
ハッカーはLayerZeroの下流インフラストラクチャを標的にし、2つのノードを侵害し、DVNが実際には発生していないトランザクションを承認するように仕向けた。
LayerZeroによると、ハッカーはLayerZero Labs DVNが使用するRPCのリストを入手し、op-gethバイナリを置き換えることで、2つの異なるノードを侵害した。同時に、ハッカーは感染していないRPCに対してDDoS攻撃を仕掛け、フェイルオーバーをトリガーすることで、実際には発生していないトランザクションをDVNが承認するように仕向けた。
つまり、ハッカーは「何もないところから」rsETHの抽出権限を有効化したのだ。
さらに恐ろしいのは、もし最後の3分間に緊急ブラックリスト機能が作動していなかったら、ハッカーたちはさらに1億ドルを盗み出し、総損失額は4億ドルを超えていただろうということだ。
この衝撃的な出来事は、ずっと前から予兆されていた。
ハッカーたちの攻撃経路は、業界でよく見られる問題、すなわちプロトコル検証メカニズムの脆弱性を直接的に標的としている。
KelpDAOは、クロスチェーン効率を熱心に追求するあまり、長年抱えていた単一検証ポイントの問題を無視してしまい、結果的にハッカーにとっての脆弱性となってしまった。
KelpDAOがセキュリティ上の問題を露呈したのは今回が初めてではない。昨年5月、コントラクトのアップグレード中に単位スケーリングエラーが発生し、プロトコルは31.2京（50京）ものrsETHを発行してしまった。コインは時間内に破棄され損失は発生しなかったものの、既にセキュリティ上の脆弱性が露呈していた。
リステーキング分野における激しい競争は、セキュリティを犠牲にしてきた。KelpDAOは規模拡大を継続するために、常に新しいLST資産を追加し、新しいL2ネットワークを拡張している。しかし、チェーンと資産が追加されるたびに、攻撃対象領域は指数関数的に拡大する。
経験豊富なDeFiプレイヤーが指摘したように、L2におけるTVLの顧客獲得コストはさらに上昇すると予想され、大量のTVLがL1に還流するだろう。
マルチチェーン拡張という「両刃の剣」は、最終的にはプロトコル自体とDeFiエコシステム全体を突き刺す鋭い刃となる。
AaveはrsETHによって資金流出に見舞われ、2億ドルの不良債権が原因で66億ドルの資金流出を引き起こした。
DeFiはレゴブロックのようなものだ。一つ壊れると、全体が崩壊してしまう。
ハッカーたちは不正に入手したrsETHをDEXに直接売り出すのではなく、「資産汚染」戦略を採用した。つまり、rsETHを「質の高い担保」としてAaveに預け入れ、流動性の高い実物資産を入手したのだ。
Aave V3/V4は、イーサリアムおよびアービトラムにおいてrsETHを担保として受け入れます。ハッカーはrsETHを預け入れ、大量のWETH、USDC、USDTを借り入れることで、不正な資産をプロトコルにとっての不良債権に変えてしまいます。
Chaos Labsの推計によると、Aaveは市場の予想をはるかに上回る、2億ドル近い不良債権を抱えている。
不良債権のニュースを受けて、AAVEトークンは急速に約18％下落した。
昨年末以降、Aaveは深刻な不運に見舞われているようだ。一連のガバナンス危機やサービスプロバイダーの撤退を経て、rsETH関連市場との統合により、今やハッカーにとって格好の流動性供給源となってしまっている。
オンチェーンデータの漏洩は、Aaveに対する批判をさらに激化させた。
ジャスティン・サン氏がAaveから53,665ETH（1億2,600万ドル相当）を緊急に引き出したことが確認された。彼の引き出しは、大口保有者がプロトコルのセキュリティに対する信頼を失いつつある兆候と見なされている。
これに続いて、市場全体で大規模な資金流出が発生した。DeFiLlamaのデータによると、Aaveは1日で66億ドルの純流出を記録し、ファンド規模は23%も急減した。
根本的な問題はAave社が引き起こしたものではないものの、今回の事件は同社のリスク管理メカニズムにとって重大な試練となった。
一部のユーザーは、コミュニティメンバーが15ヶ月も前からAaveガバナンスフォーラムでKelpDAOの単一検証ポイントのリスクについて公に警告していたことを指摘した。しかし、Aaveチームは解決策を何も提案していない。
対照的に、Sparkは今年1月にrsETHの上場を廃止した。DeFi研究者のCMは率直にこう述べている。「Skyシステム全体は積極的なリスク管理の哲学を採用しており、プロトコルの開発速度が遅くなる可能性があるが、重要な局面でその価値を証明してきた。」
ジャスティン・サン氏の53,600 ETHもSparkに預け入れられた。2日以内にSparkトークンは50%以上急騰し、AAVEとは対照的な動きを見せた。
Nothing Researchの共同創設者であるトッド氏は、Aaveが約2億ドルの不良債権に対応するため、「アンブレラ保険」モジュールを発動する可能性があると考えている。
アンブレラモジュールは第一線の防御策となるものの、その資金規模は、約2億ドルに上る資産損失を完全にカバーするには明らかに不十分である。
短期的には、Aaveの自力救済策は危機を遅らせるだけで、根本的な解決策とは言えません。主な資金不足は、Aaveプロトコルの収益またはトークン発行によって補填する必要があります。具体的な解決策については、コミュニティ内での今後の議論に委ねられます。
隔離プール、強制保険、リスク再評価といった制度により、安全対策に関してはもはや「タダ飯」は存在しない。
KelpDAO事件はLRTブームの終焉を正式に告げるものであり、DeFi市場は3つの不可逆的なリスク管理の変化をもたらすだろう。
融資市場の分断化： Aaveの非分断型融資モデルは過去のものとなりつつあり、資産は完全に独立した「サイロ型プール」に隔離されるようになる。たとえ単一の資産に問題が発生しても、他の流動性プールに存在する資産には影響しない。
Curveの創業者であるマイケル・エゴロフ氏は記事の中で、非分離型融資モデルは拡張性に優れている一方で、リスクも高いと指摘し、市場は完全分離型またはハイブリッド型のモデルを採用すべきだと提言した。
完全に隔離されたアーキテクチャは資本効率を低下させる可能性があるものの、システムのリスクに対する耐性を大幅に向上させる。
必須保険モジュール：アンブレラモジュールは、契約保険を「オプション構成」から「必須コンポーネント」へと移行させる推進力となります。
将来的には、Aaveのような主流の融資プラットフォームに上場を希望する新規資産は、該当市場における債務不履行や盗難が発生した場合の主要な補償源として、一定割合の担保を対応する保管庫に預け入れることが求められるようになるかもしれない。
DeFi資産のリスク再評価： OneKeyの創設者であるYishi氏は、DeFiの収益とリスクは現在完全に不均衡であり、セキュリティには厳格なコストがかかると率直に述べた。
市場はリスクを再評価するだろう。契約料率とインフラコストには上昇圧力がかかるだろう。そうでなければ、セキュリティ投資は持続不可能になる。
したがって、DeFi資産は、その基盤となるセキュリティに基づいて価格を再設定する必要があります。LRTのようなカプセル化された資産のリスクは、ネイティブ資産のリスクよりも著しく高いため、融資プラットフォームは、カプセル化された資産のリスク割引をリスク管理モデルに組み込むべきです。
KelpDAOのハッキング事件は、DeFiにおける最大限の利益追求とマルチチェーン展開のために、セキュリティが軽視されている現状を映し出す残酷な鏡と言えるだろう。
約3億ドルの損失は大きな痛手だが、もしこれがDeFi業界が盲目的な構成追求から安定性追求へと転換するきっかけとなるのであれば、これは業界が成熟するために支払わなければならない授業料なのかもしれない。
KelpDAO事件の後、市場は徐々に、DeFiの真の価値は、より透明性が高く、安全で、回復力のある金融インフラを提供することにあると認識するようになった。
津波が引いた後には、さらに強固な土台が残るだろう。
