著者：トム・ダンリービー
編集：Jia Huan、ChainCatcher
KelpDAOにおける2億9200万ドル相当のクロスチェーンブリッジの脆弱性がAaveを通じて連鎖反応を引き起こし、48時間以内にDeFiから130億ドルのTVL（総資産額）が流出した。
マネーマーケットで5%のUSDC利回りを得られる場合、問題はDeFiがリスクが高いかどうかではなく、リスクに見合った報酬が得られているかどうかです。この問題を解決するために、債券の数学を使ってみましょう。
2週間前、攻撃者は侵害されたLayerZeroクロスチェーンブリッジを介してKelpDAOから2億9200万ドルを盗み出した。盗まれたrsETHはその後、担保としてAave V3に預け入れられ、Aaveの貸借対照表には約1億9600万ドルの不良債権が計上され、TVLは3日間で264億ドルから179億ドルに急落した。
その2週間前、ソラナのドリフトプロトコルは、北朝鮮のハッカーによる管理者キーの漏洩により2億8500万ドルの損失を被った。このソーシャルエンジニアリング攻撃は、2025年の秋から計画されていたものだった。
3週間間隔で発生した2つの事件により、合計5億7700万ドルの恒久的損失が発生した。AaveのUSDC市場は4日間連続で利用率が99.87%に達し、貸出金利は12.4%に急上昇した。Circleのチーフエコノミスト、ゴードン・リャオ氏は、引き出し待ち行列を解消するためだけに、借入限度額を4倍にするというガバナンス提案を提出した。
わずか1ヶ月前まで、DeFiマネーマーケットに4～6％の利回りでステーブルコインを提供していた人々にとって、最も重要な疑問は、それらの利回りはそもそも妥当だったのか、ということだ。
DeFiにおいて私たちが負ったリスクに対して正当な報酬を受け取っているのか、そして将来の金利スプレッドはどこに設定されるべきか、といった点はすべて、深く掘り下げて検討する価値のある問題である。
伝統的な金融はリスクをどのように価格設定するのか？
あらゆる社債の利回りは、リスクに対する報酬の合計である。この計算の基本となる式は以下のとおりである。
利回り = Rf + [PD x LGD] + リスクプレミアム + 流動性プレミアム
Rfは、国債の満期に基づいたリスクフリーレートです。PD x LGDは期待損失であり、デフォルト確率にデフォルトによる損失を乗じたものです。LGDは1から回収率を引いた値です。
リスクプレミアムは、予想損失の不確実性を補償するものであり、PDとLGDが同じでも、潜在的なボラティリティが高い債券の方が価格が高くなる。一方、流動性プレミアムは、売却コストを補償するものである。
ムーディーズの1920年以降の長期データは、基準点となる。
米国の投機的格付け債券の長期平均年間デフォルト率は4.5%で、現在12ヶ月間の移動平均では3.2%ですが、2026年第1四半期には4.1%に上昇すると予測されています。歴史的に見ると、無担保シニアハイイールド債の回収率は約40%であるのに対し、LGD債の回収率は約60%となっています。ハイイールド債の予想損失は、長期平均に基づくと年間2.7%です。
民間融資において、KBRAは2026年の直接融資のデフォルト率を3.0%、回収率を約48%と予測している。シニア担保付きレバレッジドローンの過去の回収率は65%から75%の間であった。
今日の市場リターンはどのような状況ですか？
それでは、今日の実際のデータを見てみましょう。10年物米国債利回りは水曜日に4.29%で引けました。2026年4月時点のICE BofAクレジットスタックのオプション調整スプレッド（米国債と比較して債券のリスクがどれだけ高いかを示す指標）は以下のとおりです。
そのパターンは非常に直感的だ。国債から投資適格債、投機的格付け債、そして最終的にはサブプライム商業用不動産へと、利回りは段階的に上昇し、デフォルトの可能性の高まりと損失の深刻さを補っている。
直接融資の利回りは約9％だが、これは借り手のデフォルト率が高いからではなく、流動性の低い民間債券を保有することによる流動性プレミアムが現実的かつ明確に存在するからである。
それでは、ケルプ事件以前のAaveのUSDCレートを見てみましょう。約5.5%で、投資適格債とシングルB格付けの高利回り債の中間の価格帯でした。
Morphoは、厳選された運用型金庫を統合し、約10.4%の利回りを実現しています。ただし、これら2つの数値は、同じ基礎リスクの正確な評価を同時に表すものではありません。
DeFiには、従来の金融には見られない3種類の「デフォルト」が存在する。
従来の債務不履行は煩雑な手続きを伴う。借り手が利息の支払いを怠ると、債券保有者が繰り上げ返済を要求し、その後、リストラ、資産売却、回収額を決定するための交渉が行われる。
DeFiにはこのような資産処分プロセスが欠けており、脆弱性悪用のリスクに直面している。主な障害モードは3つある。
パターン1：スマートコントラクトの脆弱性
このコードには、再入脆弱性、入力検証エラー、アクセス制御の欠如といった欠陥が含まれている。攻撃者は資金プールから資金を吸い上げた。過去の事例では、プロトコルへの直接攻撃に対する復旧率は、ホワイトハットハッカーが資金を返還する場合5～15%だが、北朝鮮のハッカーが関与する場合はほぼゼロである。
2021年のPoly Network攻撃で犯人たちは6億1100万ドル全額を返還したが、それはまるで冗談のように感じられた。Roninの6億2500万ドルとWormholeの3億2500万ドルは、Sky MavisとJump Tradingがそれぞれ自社のバランスシートで救済したため回収できた。これは資産回収ではなく、株主救済だった。
モード2：Oracleの操作およびガバナンス攻撃
価格フィードは、流動性の低いDEXプールを操作することによって妨害され、不良債権が発生する。あるいは、攻撃者はガバナンストークンを蓄積し、悪意のある提案を通じて資金を枯渇させることもできる。Beanstalkは、2022年にこうした行為によって1億8200万ドルの損失を被った。
こうした攻撃は通常、プロトコルレベルの介入によって部分的に覆すことができるが、貸し手による「資産」に対する請求は、しばしば無価値なトークンに対する請求へと変わってしまう。
パターン3．組み合わせ連鎖効果
これはKelpDAOの障害パターンであり、監査が最も困難なため、最も危険なパターンです。プロトコルAは流動性ステーキングまたは再ステーキングトークンを発行し、プロトコルBはこれらのトークンを担保として受け入れ、プロトコルCはそれらを別のチェーンにブリッジします。このチェーンのいずれかのリンクに脆弱性があると、下流のポジションが孤立する可能性があります。
攻撃者はAaveを破壊する必要はなく、rsETHを破壊すれば、Aaveの貸し手が不良債権を引き受けることになる。
これら3つのモデルには共通点が1つあり、それはDeFiを従来の信用市場と区別する点でもある。つまり、問題が発生すると、数四半期ではなく、数分以内に爆発的に拡大するということだ。
契約の再交渉やDIPファイナンス（倒産再建融資、企業倒産保護期間中に事業継続のために調達される新たな資金調達であり、優先返済権を有する）は行われず、スマートコントラクトが直接実行される。
コードは法律であり、コードに違反した場合、その損失は甚大なものになり得る。
Aave V3上のrsETHの不良債権は、わずか4時間でゼロから1億9600万ドルに急増した。これに対し、BB格付けの債務不履行の場合、最初のストレスの兆候が現れてからリストラが完了するまでの平均期間は14ヶ月である。
データはDeFiのセキュリティが向上したことを示唆しているのだろうか？そう単純な話ではない。
従来の物語はここで崩れ始めている。Chainalysisが2025年12月に発表した中間報告では、驚くべき乖離が明らかになった。DeFiのTVL（総損失額）は2024年初頭の400億ドルから2025年10月のピーク時には約1750億ドルまで回復したが、DeFi特有のハッキングによる損失は2023年の低水準付近にとどまった。
2025年に発生した34億ドル相当の仮想通貨盗難は、主に中央集権型取引所の脆弱性（Bybitだけで15億ドル）と個人ウォレットの情報漏洩（盗難総額の44％を占め、2022年の7％から増加）に集中している。
データソース：Chainalysis社「暗号通貨犯罪レポート2025年版および2026年版」
図02だけを見ると、DeFiはより安全になっていると結論づけるかもしれません。これは部分的には正しいと言えます。スマートコントラクトの監査は成熟し、Immunefiのようなバグ報奨金プログラムは現在1,000億ドルを超えるユーザー資金を保護しており、クロスチェーンブリッジアーキテクチャは徐々にタイムロックとマルチパーティ検証を採用しつつあります。
しかし、2026年の実績は異なる様相を示している。4月1日、Driftは2億8500万ドルの損失を出し、4月18日にはKelpDAOが2億9200万ドルの損失を出した。わずか18日間で2件の9桁の損失が発生したが、いずれもコアとなる融資の基本的な仕組みではなく、構成可能性の弱点が原因だった。
平均TVLと比較すると、近年のDeFiの年間損失率はおよそ以下の通りです。
2024年：DeFi固有の損失は約5億ドルで、平均TVLは750億ドル、年間損失率は0.67%でした。
2025年：DeFi固有の損失は6億ドルと推定され、平均TVLは1200億ドルで、年間損失率は0.50%となる。
2026年年初来（年率換算）：第2四半期だけで、単一事象による損失は約5億7,700万ドルに達し、総損失額（TVL）は950億ドルとなった。このペースが続けば、潜在的な年間損失率は2.0%～2.5%に達する可能性がある。
質の高いDeFiレンディングの年間デフォルト確率（PD）を1.5%から2.0%と仮定し、デフォルト時の損失率（LGD）を90%とします。外部のバランスシートがカバーできない場合の直接的なエクスプロイトの平均回収率は5%から15%とすると、予想される損失は年間1.35%から1.80%となります。
これは既に高利回り債よりも高い水準です。しかも、不確実性、流動性の低さ、規制の非対称性、そして構成可能性の伝染という特異な構造から生じるプレミアムは含まれていません。
DeFiの利回りは実際にはどのくらいであるべきなのか？
ここで債券数学が真価を発揮します。ここでは、仮想的な高品質DeFiステーブルコイン預金の適正利回りを算出します。具体的には、イーサリアムメインネット上の個人投資家および定量投資家向けに、AaveまたはCompound上でUSDCを担保として過剰に貸し出すポジションを想定します。
公正価値利回りは、10年物米国債のベンチマークを基準として算出されます。このフレームワークは、ダフィー・シングルトン信用スプレッド分解法に基づいており、DeFi特有の障害モードに合わせて調整されています。
各構成要素の詳細な内訳：
リスク構成プレミアム: 無リスクベンチマーク (10 年米国財務省債) + 4.30% 予想損失 (デフォルト確率 × 損失率) + 1.50% オラクル操作リスク + 0.75% ガバナンス/管理者キーリスク + 1.00% クロスチェーン連鎖リスク (Kelp のようなイベント) + 1.25% 規制非対称性リスク + 1.25% ステーブルコインのデペッグリスク + 0.50% 流動性プレミアム + 0.50% モデル不確実性プレミアム + 1.50% =妥当な利回り下限12.55%
したがって、主流プロトコルにおける高品質なDeFiステーブルコインの預金については、最低金利は13%を下回るべきではありません。明確な保険（Nexus Mutualの補償、アンブレラ型プロトコル準備金など）が付帯しているポジションは、金利をやや低く設定できますが、ロングテールプロトコル、新規展開市場やリステーキング、クロスチェーンベースプロトコルへのエクスポージャーに関わるポジションは、より高い金利を設定する必要があります。
主な結論
まず、公正な報酬が必要です。DeFiに5%の金利でUSDCを提供する場合、実質的にBBレベルの信用リスクを価格に織り込んでいることになり、CCCレベルよりも悪い技術的リスクと構成可能性リスクを負うことになります。
Morphoの選択的保管庫の市場利回り9%～12%は、公正な清算価格に近いものの、運用会社の選定や透明性に関して疑問も生じる。
第二に、資本構成の上位（優先担保付債務から普通株式へ、ファンドの優先順位が高いほどリスクは低くなる）へ移動します。
優良担保（ETH、wBTC、実績のあるLST）を担保とした過剰担保融資は、オラクル冗長性、プロトコル層保険、クロスチェーンへのエクスポージャーがないことを特徴としており、これがDeFiの真の投資適格性であり、必要なリスクプレミアムは上記のフレームワークの推定値よりも大幅に低くなります。
第三に、テールリスクを正しく価格設定すること。
KelpDAOの脆弱性は、ブラックスワン現象ではなく、ますます脆弱化するマルチチェーンアーキテクチャにおける、ブリッジングおよびリステーキングの基盤プロトコルの予見可能な障害モードです。ドリフトも同様の事例であり、単に登場人物が異なるだけです。
2026年第2四半期には、既に5億7700万ドルの恒久的損失が発生している。利回り5.5%のハイブリッドDeFiポートフォリオは、利回りでは補えない壊滅的なドローダウンリスクに直面している。
DeFiは投資対象として不適格なわけではありません。単に注文板の上位層で価格が誤っているだけです。機関投資家にとっての投資機会は確かに存在しますが、それはDeFiの枠組みに裏付けられたリスクプレミアムを要求するか、あるいはプライベートクレジットを評価するのと同等の厳密さで特定のプロトコルを精査する資産配分者に限られます。
最も簡単な方法、つまり主流の融資プラットフォームにステーブルコインを預け入れ、公表されている利回りをただ受け入れるという方法は、リスクのない金利を装った裁定取引に過ぎない。
