#KelpDAOBridgeHacked

分散型金融エコシステムは、これまでで最も深刻なセキュリティ失敗の一つを目撃しました。著名な流動性再ステーキングプロトコルであるKelp DAOは、そのrsETHクロスチェーンブリッジを標的とした壊滅的な攻撃を受けました。数分以内に、約116,500 rsETH—価値は$292 百万から$293 百万の間—が流出し、トークンの総流通量のほぼ18％に相当します。この事件は、2026年に記録された最大のDeFiハックとして位置付けられています。

この侵害は、LayerZeroのクロスチェーンメッセージングシステムに依存していたKelp DAOのブリッジインフラ内から発生しました。具体的には、攻撃者はEndpointV2コントラクトのlzReceive関数を悪用しました。偽のクロスチェーンメッセージを作成・注入することで、検証チェックを回避しました。システムは、そのメッセージを正当なものと誤認し、攻撃者が管理するウォレットに資金を不正に解放させることに成功しました。
この攻撃の特に懸念される点は、複雑な脆弱性ではなく、標準的なプロトコルの挙動を利用している点です。分析者は、デフォルト設定への過度の依存と、メッセージングシステム内の検証層の不足が重要な役割を果たしたと考えています。攻撃者の準備も意図的であり、攻撃に使用されたウォレットは約10時間前にTornado Cashを通じて資金提供されており、取引の出所を隠し追跡を困難にするための一般的な手法です。

このクロスチェーンの性質が被害を拡大させました。rsETHはEthereumメインネットとArbitrumなどの複数のLayer-2ネットワークに展開されており、攻撃はエコシステム全体に急速に拡散しました。このマルチチェーンの露出により、損失の速度と規模が大幅に増加しました。
Kelp DAOは異常な活動を検知した後、迅速に対応しました。チームは直ちにメインネットといくつかのLayer-2環境でのrsETHコントラクトを停止し、さらなる損失を防ぎました。推定損失額は$100 百万を超えると見積もられています。最初の声明では、インフラパートナー、監査人、セキュリティ専門家と協力して包括的な調査を行うことを確認しました。

迅速な対応にもかかわらず、結果は深刻でした。攻撃はDeFi市場全体に広範なパニックを引き起こし、流動性危機を招きました。ユーザーは資金の引き出しに殺到し、「銀行取り付け」現象を引き起こしました。Aaveを含む主要な貸付プラットフォームは緊急措置として市場の凍結を実施しました。約$9 十億—Aaveの総ロック資産の約3分の1—が短時間で引き出され、推定損失は$196 百万から$236 百万にのぼりました。

他のプロトコル、SparkLend、Fluid、Upshift、Morphoも大きなストレスを経験しました。エコシステム全体では、48時間以内に総ロック資産が推定$8 十億から$13 十億まで減少しました。この衝撃はEthereumを超え、Solanaを含む他のチェーンの流動性プールにも影響を及ぼしました。
北朝鮮に関連するサイバー犯罪組織であるLazarus Groupの関与の可能性についても憶測が浮上しています。一部のオンチェーン指標は関連性を示唆していますが、公式な確認はされていません。

一方、攻撃者はすでに資金を移動させ始めており、追跡を困難にするために異なるネットワーク間で一部をETHにスワップしています。
この事件は、DeFiにおける長年の懸念を再確認させるものです。クロスチェーンブリッジは、ブロックチェーンインフラの中で最も脆弱な部分の一つです。シームレスな相互運用性を可能にする一方で、メッセージ検証メカニズムが十分に堅牢でない場合、重要な攻撃面をもたらします。

Kelp DAOの攻撃は、厳しい警告として機能します。多層検証システム、より厳格な検証ロジック、リスク管理の強化など、セキュリティフレームワークの改善が緊急に求められています。調査が続く中、業界は今後の再発防止策とともに、Kelp DAOの詳細な最終報告書の公開を待っています。