#KelpDAOBridgeHacked KelpDAO rsETHブリッジの脆弱性：2026年最大のDeFiハック

2026年4月18日、流動的リステーキングプロトコルの著名なKelpDAOは、事件前の総ロック資産額(TVL)が13億ドルを超える中、クロスチェーンブリッジインフラを標的とした壊滅的な脆弱性を突かれる攻撃を受けました。この攻撃により、約116,500 rsETHトークンが盗まれ、当時の価値は約2億9,200万～2億9,400万ドルと推定され、2026年の最大のDeFiハックとなりました。

攻撃の経路

この脆弱性は、LayerZeroのクロスチェーンメッセージングプロトコルを利用したKelpDAOのrsETHブリッジを標的としました。攻撃者は、LayerZeroのEndpointV2のlzReceive関数の重大な脆弱性を特定し、悪用しました。手法としては、Unichain EID 30320を用いてテストネットのピアを登録し、1対1の分散検証者ネットワーク(DVN)の承認設定を悪用するものでした。これにより、攻撃者は標準の検証プロトコルを回避した偽のクロスチェーンメッセージを作成・送信し、正当な裏付け資産なしにvaultからrsETHを不正に解放させることが可能となりました。

盗まれたrsETHは、トークンの流通総量の約18％に相当し、DeFiエコシステム全体に即時のシステム的懸念を引き起こしました。

クロスプロトコルの感染と不良債権危機

盗まれた資産を保持せず、攻撃者は未裏付けのrsETHを複数のレンディングプロトコルに担保として急速に展開し、連鎖的な不良債権の事態を引き起こしました。

- Aave V3 (Ethereum): -52,834 WETH借入
- Aave V3 (Arbitrum): -29,782 WETHと821 wstETH借入
- Compound V3およびEuler：追加で2,300万～5,900万ドルの借入

影響を受けたプロトコル全体の不良債権総額は$200 百万ドルを超え、プロトコルの一時停止後、rsETH担保は事実上価値を失いました。これにより、この事件は単なるブリッジの脆弱性を突いた攻撃にとどまらず、DeFiの相互接続されたアーキテクチャの耐性を試すクロスプロトコルの感染事件となりました。

市場への即時影響

この脆弱性は、市場に大きな反応とプロトコルレベルの緊急対応を引き起こしました。

- AaveのTVLは$7 十億ドル超に急落し、ETHの大量引き出しにより、影響を受けた市場の利用率は100％に達しました
- ネイティブトークンの下落：$AAVE は約20％減少、$ZRO (LayerZero)は約30％下落
- Aave V3、V4、SparkLend、Fluid、UpshiftでrsETH担保の緊急凍結
- Lido EarnはrsETHのエクスポージャー懸念によりearnETHの預入を停止
- LayerZeroブリッジを利用する複数のプロジェクトが予防的に一時停止を実施

二次的リスクとして、ETHの清算失敗、USDT借入インセンティブの問題、ArbitrumのAave展開における集中した不良債権の露呈などが浮上しています。これらはUmbrellaの包括的な保護範囲に含まれない可能性もあります。

緊急対応と現状

KelpDAOのセキュリティチームは、検知から約1時間以内に対応し、4月18日18:21 UTCにプロトコル全体の一時停止を実施しました。この迅速な対応により、2回の追加攻撃試行を阻止しました。チームは公式声明を出し、ホワイトハットとの交渉に前向きであることを表明し、LayerZero、Unichain、第三者監査人と協力して根本原因の分析を進めています。

Aaveのガバナンスは、資金の回収や不足分の補填のための資金運用、ETHスロープ2レートの引き上げなど、資金調達やプロトコルの安定化に関する議論を開始しています。Chaos Labsの分析によると、不良債権の約$177 百万ドルは清算済みですが、Arbitrumのエクスポージャーは未解決のままです。

ブロックチェーン調査員のZachXBTなどは、盗まれた資金の追跡をTornado Cashに行っており、現時点での回収成功例は報告されていません。アナリストは、ブリッジされたrsETH保有者に対して15～20％のヘアカットを予測しており、KelpDAOは損失の社会化やメインネット保有者優先の戦略を検討しています。

業界への影響

この事件は、クロスチェーンブリッジのセキュリティとリキッドリステーキングトークン(LRT)の構成性にとって重要な転換点を示しています。特に、DVN設定の簡素化に伴うリスクや、構成可能なブリッジのセキュリティパラメータの根本的な脆弱性を浮き彫りにしました。この事件は、ブリッジアーキテクチャのセキュリティ基準と、相互接続されたDeFiプロトコルのシステムリスクに対する監視を強化しています。

KelpDAOの侵害は、2026年4月1日のDrift Protocolの2億8千万～2億8千5百万ドルのハックを超え、複雑なクロスチェーンインフラを標的とした攻撃の高度化傾向を示しています。2026年4月には、CoW Swapのドメインハイジャック攻撃を含む複数のインシデントで合計12億ドル超の暗号資産損失が記録されており、業界はセキュリティインフラの強化とリスク管理の堅牢化を迫られています。

影響を受けたユーザーや市場参加者は、KelpDAOやAaveの公式チャンネルからの最新情報、資金回収や補償の進展、プロトコル再開のスケジュールを注視することが推奨されます。

#KelpDAO #DeFiSecurity #CryptoHack #BridgeExploit