🚨 #KelpDAOBridgeHacked — クロスチェーンのセキュリティを根底から揺るがした $300M DeFiの大惨事

DeFiエコシステムは再び、KelpDAOのクロスチェーンブリッジインフラが2026年の最も深刻な攻撃の一つで悪用され、約116,500 rsETHトークン（ほぼ2億9200万ドル相当）を失うセキュリティ侵害によって揺さぶられた。

この事件は、その規模だけでなく、クロスチェーンの相互運用性の脆弱な基盤について明らかにしたことから、分散型金融のセキュリティ史において重要な瞬間の一つとなった。

孤立したスマートコントラクトのバグとは異なり、この攻撃は、現代のDeFiシステムがブロックチェーン間で価値を検証・伝達する方法の根本的な弱点を露呈した。

---

🔍 攻撃の構造 — どのように展開したか

侵害は、UnichainとEthereumメインネットをつなぐrsETHの送信経路を中心としたKelpDAOのクロスチェーンブリッジ構造を狙ったものだった。システムの核は、LayerZeroのOFTメッセージング標準に依存しており、チェーン間のシームレスな相互運用性を実現するために設計されていた。

しかし、この一見堅牢に見える設計の裏には、重要な欠陥が潜んでいた：1対1の分散型検証者ネットワーク $294 DVN(の構成。

これにより、

> 単一の検証者ノードがクロスチェーンメッセージの承認または拒否の全権を持つことになった。

実際には、これが中央集権的な絞り込みポイントを隠れ蓑にした分散化の偽装となっていた。

---

⚡ フェーズ1：インフラの標的化

攻撃者は、オフチェーンインフラの弱点を特定することから始めた。

複数のRPCノードを侵害し、データを供給

悪意のあるスクリプトを注入してメッセージ検証を操作

正常なRPCエンドポイントに対してターゲットを絞った妨害を実施

これにより、システムは劣化モードに入り、侵害されたデータストリームのみが稼働し続けた。

---

⚡ フェーズ2：データ操作と検証の捕獲

データ入力の制御を得た後、攻撃者は偽の合意環境を作り出した。

偽造されたクロスチェーン取引メッセージ

偽の「有効」な送金リクエストを注入

破損したデータを唯一の検証ノードに直接供給

冗長な検証層がないため、システムは攻撃者が制御する入力を正当なブロックチェーン通信として信頼し始めた。

---

⚡ フェーズ3：偽のクロスチェーン呼び出しの実行

侵害された検証者は、LayerZeroのEndpointV2コントラクト上で悪意のあるlzReceive)(呼び出しを承認した。

これにより、

116,500の未裏付けrsETHトークンのミント

資産の即時攻撃者制御ウォレットへのリリース

担保裏付けの検証は発動しなかった

この段階で、ブリッジは実質的に空中から価値を創出するように騙された状態だった。

---

⚡ フェーズ4：痕跡の隠蔽

実行後、

マルウェアコンポーネントが自己削除

ログの一部が消去または破損

攻撃経路のリアルタイム再構築が困難に

攻撃者は、資金をチェーン間で移動させる前に、フォレンジック追跡の遅延を最大化した。

---

💰 攻撃後の動き — 急速なマルチチェーン資金洗浄

数分以内に、攻撃者は積極的な流動性分散戦略を開始した。

盗まれたrsETHは、

主要なDeFiレンディングプラットフォームに預け入れられ

複数のプロトコルで担保として使用され

WETHで)百万超の借入にレバレッジされた

📊 主要なプロトコルの露出：

Aave V3 & V4

Compound V3

Euler Finance

SparkLend

Fluid

Upshift

戦略は明確だった：

> 偽の盗難資産を、対策が間に合う前に実際の流動性のあるETHに変換する。

---

🔄 クロスチェーン配布

資金は素早くブリッジされ、エコシステム間に分散された。

Ethereumメインネット $236 〜(変換済み$178M

Arbitrum )〜(移動$72M

Base、Linea、Blastなど他のL2ネットワークにも断片的に分散

これにより、多チェーン汚染シナリオが生まれ、盗まれた流動性の隔離や凍結が困難になった。

---

⚠️ システム的衝撃 — DeFi全体への波及効果

直接的な影響はKelpDAOだけにとどまらず、DeFiエコシステム全体が流動性の同期的な圧力を経験した。

---

📉 総ロックされた資産価値の崩壊

48時間以内に、

DeFiのTVLは130億ドル減少

レンディング市場は急激な引き出しを記録

流動性提供者はリスク軽減を開始

---

🏦 レンディング市場の衝撃

Aaveは最も重要な流動性イベントの一つを経験した。

60億〜84.5億ドルの預金が引き出された

rsETHのV3とV4の市場は凍結

一時的な担保プールの流動性不均衡

他のプラットフォームも迅速に追随：

SparkLendは運営停止

FluidとEulerはエクスポージャーを制限

Upshiftは新規借入活動を停止

---

🧊 市場センチメントの凍結

心理的影響は即座に現れた：

クロスチェーンブリッジへの恐怖が高まる

機関投資家はLSTデリバティブのエクスポージャーを縮小

リテールトレーダーはステーブルコイン保有にシフト

プロトコル全体のリスクモデルが一夜にして再調整された

---

🛡️ 緊急対応 — 迅速だが受動的な防御

KelpDAOは数分以内に対応したが、被害はすでに拡散していた。

⏱️ 対応のタイムライン：

18:21 UTC — マルチシグによりコアコントラクトを一時停止

~46分後に初期の侵害検知

追加の攻撃試行はブロックされ、)約8万rsETHが併せて$14 防御された

一方：

Aaveは影響を受けた市場を凍結

LidoはearnETH預入を停止

EthenaはLayerZeroブリッジの運用を一時停止

部分的な封じ込めに成功したものの、最初の価値抽出フェーズはすでに完了していた。

---

⚖️ 責任の所在 — 誰が責任を負うのか？

この後、KelpDAOとLayerZeroの間で責任追及の争いが激化した。

🧩 KelpDAOの立場：

デフォルトのDVN構成は安全でないと主張

ドキュメントは実世界のリスクを過小評価していたと指摘

検証モデルのインフラ設計の欠陥を示唆

🧩 LayerZeroの立場：

KelpDAOがセキュリティ設定を誤ってカスタマイズしたと主張

推奨される分散化基準から逸脱したことを強調

設定の選択においてユーザーの責任を指摘

---

🕵️‍♂️ 攻撃者の特定

LayerZeroと独立したアナリストは、攻撃を以下にリンク付けた：

> 北朝鮮関連のサイバー作戦 (ラザルスグループ)

支持指標には以下が含まれる：

実行前のTornado Cash資金提供

過去の攻撃と一致するマネーロンダリングパターン

以前のキャンペーンで使われたクロスチェーンの隠蔽技術

ただし、完全な責任追及は調査中の段階。

---

🧠 構造的失敗 — このハッキングが本当に示すもの

財務的な損害を超えて、この事件はDeFiの根本的な構造問題を浮き彫りにしている。

🔴 偽の分散化問題

多くの「分散型」とされるシステムは依然として以下に依存している：

単一の検証者ノード

中央集権的なフォールバックメカニズム

メッセージ検証の弱い冗長性

これが隠れた中央の故障点を生み出している。

---

🔴 クロスチェーンの複雑性リスク

DeFiがマルチチェーン化するにつれて：

攻撃の範囲は指数関数的に拡大

検証の標準化が困難に

セキュリティの前提が実世界のストレス下で崩壊

---

🔴 組み合わせの汚染

DeFiプロトコルは深く相互接続されているため：

一つの侵害された資産が他の担保に変わる

不良債務が複数のプラットフォームに拡散

リスクがシステム全体に波及し、孤立しなくなる

---

📊 より広い業界への影響

KelpDAOの攻撃はすでにDeFiセキュリティの議論を再形成している。

予想される業界の変化：

多検証者ブリッジ設計の義務化

マルチシグ検証層の採用拡大

より高度なリアルタイム監視システムの導入

単一チェーンの信頼前提の低減

---

🔐 セキュリティ監査の進化

監査は今や以下を超える範囲に拡大されることが期待されている：

スマートコントラクトコードのレビュー

そして、完全なクロスチェーンインフラのシミュレーションも含む

---

🔮 長期的展望 — クロスチェーンセキュリティの未来

この事件は、DeFiアーキテクチャ設計の転換点となる可能性が高い。

今後の方向性として考えられるもの：

完全分散型のマルチノード検証システム

ゼロトラストのクロスチェーンメッセージング層

オンチェーン証明に基づくブリッジ検証モデル

オフチェーンRPC集約への依存低減

ただし、これらの改善には時間と資本、エコシステム間の調整が必要となる。

---

🚨 最終的な洞察 — DeFiへのシステム的警告

この(事件は単なるハッキングではなく、クロスチェーン金融そのものの構造的ストレステストの失敗だ。

それは次のことを示している：

セキュリティは最も弱い検証層の強さに依存する

「分散型」が必ずしも「リスク分散」を意味しない

組み合わせ可能性は革新とシステム崩壊の両方を増幅させ得る

---

🧭 終わりに — 見通し

分散型金融の進化する世界では、最大のリスクはもはや孤立したスマートコントラクトのバグではなく、敵対的条件下で崩壊する設計上の前提だ。

KelpDAOの攻撃は、セキュリティ侵害としてだけでなく、信頼が隠れたインフラ層に集中したときに崩壊し得るクロスチェーンエコシステムの典型的な事例として研究されるだろう。

そしてDeFiにおいては、この事件が示した通り：

> ブリッジはしばしば接続されたチェーンよりも脆弱である。