ケルプDAOがハッキング 2.92億ドル：LayerZero のクロスチェーンブリッジが偽造メッセージ攻撃を受け、2026年最大のDeFiイベントとなる

再ステーキング協定のKelp DAOが台湾時間4月19日未明にハッキングを受けた。CoinDeskの報道とオンチェーンセキュリティ企業Cybersの追跡によると、攻撃者はKelpがLayerZeroに展開したクロスチェーンブリッジコネクタを通じて、不正なクロスチェーンメッセージを偽造し、合約をトリガーして116,500個のrsETHを放出させた。約2.92億ドルに相当し、rsETHの流通量の近18%を占める。今回の損失は、4月初旬のDrift Protocolの2.85億ドル事件を上回り、2026年最大のDeFiにおけるセキュリティ事件となった。

偽造クロスチェーンメッセージでブリッジコネクタの検証を回避

Kelp DAOのrsETHはイーサリアム主網でネイティブに発行され、LayerZeroのクロスチェーンメッセージ層を通じて20本超の他のチェーン上に展開されている。攻撃者は米東部時間4月18日午後2時50分頃に攻撃を開始し、偽造されたクロスチェーンパケットによって、主網adapter合約が「有効な指令が別のチェーンから来た」ものだと信じ込むようにした。その結果、116,500 rsETHが攻撃者の管理するアドレスへと放出された。

rsETHを手に入れた後、攻撃者はさらにトークンをAave V3上で担保に入れて借り入れ、WETHを借り出し、資産を段階的にArbitrumへクロスチェーンした。最終的に、ミキサーTornado Cashを通じて資産を洗浄した。Kelpは攻撃発生から約46分後に緊急停止のマルチシグを発動し、2件の後続攻撃である4万rsETHの試み（合計約1億ドル）は、合約が凍結されたためrevertとなった。

Aaveが緊急でrsETH市場を凍結

Aaveの創業者Stani Kulechovはコミュニティ上で、「rsETH市場はAave V3およびAave V4で凍結されており、Aaveの合約自体は攻撃されていない。これはrsETH側の脆弱性だ」と述べ、さらに「rsETHのAaveにおける借入権限はゼロであり、Aaveには直接の損失はない」と強調した。ただし、rsETHが担保として支援するWETHの借入ポジションは依然として約1.77億ドルの不良債権リスクが残り、供給サイドに緊急の撤退を迫っている。

市場の反応は強烈だった。ニュースが伝わった後、AAVEトークンは1日で10.27%下落し、一時は105.73ドルまで下げた。関連する借入協議SparkLendとFluidも相次いでrsETHに関わるポジションを凍結し、連鎖的リスクは週末の流動性が薄い状況下で拡大した。

wrapped rsETHが20本超のチェーンに分散し、清算の難題に

今回の事件の連鎖効果は、一般的な単一チェーン攻撃よりも大きい。吸い上げられたadapterの準備金は、まさに20本超のチェーンで発行されたwrapped rsETHの裏付け資産である。つまり、他のチェーン上でwrapped rsETHを用いて借入、担保、または取引を行っているユーザーのポジションは、受動的なデカップリング（連動性の切り離し）リスクに直面することになる。Kelp公式声明は「疑わしいクロスチェーン活動」を確認したうえでrsETH合約を停止したとだけ述べており、補償案はまだ公表されていない。

クロスチェーンブリッジがDeFiの新たな攻撃面に

Kelpの事件は、2026年以降にクロスチェーンメッセージ層が攻撃の主役になるというトレンドを継いでいる。月初のDrift ProtocolがSolana durable nonceを利用してマルチシグを回避した件から、今回のKelpがLayerZeroのメッセージを偽造した件まで、脆弱性のポイントは貸借プロトコルそのものではなく、各チェーンをつなぐメッセージ検証メカニズムにある。リスク管理チームのChaos Labsは先に予算をめぐる論争でAaveのリスク管理から離脱しており、さらにクロスチェーンブリッジという集中した攻撃面が浮上したことで、DeFiプロトコルの構造的なセキュリティガバナンスにおける課題は引き続き高まっている。

この記事Kelp DAOが2.92億ドルをハッキング：LayerZeroクロスチェーンブリッジが偽造メッセージ攻撃を受け、2026年最大のDeFi事件 最初に 鏈新聞 ABMedia に掲載された。