2026年4月18日、流動性リステーキングプロトコルの著名なKelpDAOは、事件前の総ロック資産額(TVL)が13億ドルを超える中、クロスチェーンブリッジインフラを標的とした壊滅的な脆弱性を突かれる攻撃を受けました。この攻撃により、約116,500 rsETHトークンが盗まれ、当時の価値は約2億9,200万〜2億9,400万ドルと推定され、2026年の最大のDeFiハックとなりました。
攻撃の経路
この脆弱性は、LayerZeroのクロスチェーンメッセージングプロトコルを利用したKelpDAOのrsETHブリッジを標的としました。攻撃者は、LayerZeroのEndpointV2のlzReceive関数に存在した重大な脆弱性を特定し、悪用しました。手法としては、Unichain EID 30320を用いてテストネットのピアを登録し、1対1の分散型検証者ネットワーク(DVN)の承認設定を悪用しました。これにより、攻撃者は標準の検証プロトコルを回避する不正なクロスチェーンメッセージを作成・送信し、正当な裏付け資産なしにバルトからrsETHを不正に解放させることが可能となりました。
盗まれたrsETHは、トークンの流通総量の約18％に相当し、DeFiエコシステム全体に即時のシステム的懸念を引き起こしました。
プロトコル間の感染と不良債権危機
盗まれた資産を保持せず、攻撃者は未裏付けのrsETHを複数のレンディングプロトコルに担保として迅速に展開し、連鎖的な不良債権の事態を引き起こしました：
- Aave V3 (Ethereum): -52,834 WETH借入
- Aave V3 (Arbitrum): -29,782 WETHと821 wstETH借入
- Compound V3およびEuler：追加で2,300万〜5,900万ドルの借入
影響を受けたプロトコル全体の不良債権総額は$200 百万ドルを超え、プロトコルの一時停止後、rsETH担保は事実上価値を失いました。これにより、この事件は単なるブリッジの脆弱性を超え、DeFiの相互接続されたアーキテクチャの耐性を試すクロスプロトコル感染事件として位置付けられました。
市場への即時影響
この脆弱性は、市場に大きな反応とプロトコルレベルの緊急対応を引き起こしました：
- AaveのTVLは数十億ドル規模で急落し、利用率は対象市場で100％に達しました
- ネイティブトークンの下落：$7 は約20％減少し、$AAVE $ZRO LayerZero(は約30％下落
- rsETH担保に対して、Aave V3、V4、SparkLend、Fluid、Upshiftで緊急の市場凍結措置
- Lido EarnはrsETHのエクスポージャー懸念によりearnETHの預入を停止
- LayerZeroブリッジを利用する複数のプロジェクトが予防的な一時停止を実施
二次的なリスクとして、ETHの清算失敗の可能性、USDT借入インセンティブの問題、ArbitrumのAave展開における集中した不良債権の露出などが浮上し、Umbrellaの包括的な保護が不足している可能性も指摘されています。
緊急対応と現状
KelpDAOのセキュリティチームは、検知後約1時間以内に対応し、4月18日18:21 UTCにプロトコル全体の一時停止を実施しました。この迅速な対応により、2回の追加攻撃試行を阻止しました。チームは公式声明を出し、ホワイトハットとの交渉に前向きであることを表明し、LayerZero、Unichain、第三者監査人と協力して根本原因の徹底分析を進めています。
Aaveのガバナンスは、資金不足を補うための資金運用や融資の検討を開始し、ETHのスロープ2レート引き上げ案も提案されています。Chaos Labsの分析によると、不良債権の約)百万ドルは清算済みですが、Arbitrumのエクスポージャーは未解決のままです。
ブロックチェーン調査員のZachXBTなどは、盗まれた資金の追跡をTornado Cashに行っていますが、現時点での回収成功例は報告されていません。アナリストは、ブリッジされたrsETH保有者に対して15〜20％のヘアカットが予想されており、KelpDAOは損失の社会化やメインネット保有者優先の戦略を検討しています。
業界への影響
この事件は、クロスチェーンブリッジのセキュリティと流動性リステーキングトークン$177 LRT(の構成性にとって重要な転換点を示しています。脆弱性は、特に簡素化されたDVN設定に伴うリスクを含め、構成可能なブリッジのセキュリティパラメータの根本的な脆弱性を浮き彫りにしました。この事件は、ブリッジのアーキテクチャのセキュリティ基準と、相互接続されたDeFiプロトコルがもたらすシステムリスクへの監視を強化しています。
KelpDAOの侵害は、2026年4月1日のDrift Protocolの2億8,000万〜2億8,500万ドルのハックを超え、より高度化した攻撃の増加傾向を示しています。2026年4月には、CoW Swapのドメインハイジャック攻撃を含む複数のインシデントで12億ドル超の暗号資産損失が記録されており、業界はセキュリティインフラの強化とより堅牢なリスク管理体制の構築を迫られています。
影響を受けたユーザーや市場参加者は、KelpDAOやAaveの公式チャネルを通じて、資金回収、補償の枠組み、プロトコル再開の最新情報を監視することが推奨されます。
)#KelpDAO #DeFiSecurity #CryptoHack

ZRO6.16%

AAVE3.36%

ETH0.54%

ARB-0.87%

原文表示

Dubai_Prince2026-04-20 11:41:38

#KelpDAOBridgeHacked KelpDAO rsETHブリッジの脆弱性：2026年最大のDeFiハック

2026年4月18日、流動的リステーキングプロトコルの著名なKelpDAOは、事件前の総ロック資産額(TVL)が13億ドルを超える中、クロスチェーンブリッジインフラを標的とした壊滅的な脆弱性を突かれる攻撃を受けました。この攻撃により、約116,500 rsETHトークンが盗まれ、当時の価値は約2億9,200万～2億9,400万ドルと推定され、2026年の最大のDeFiハックとなりました。

攻撃の経路

この脆弱性は、LayerZeroのクロスチェーンメッセージングプロトコルを利用したKelpDAOのrsETHブリッジを標的としました。攻撃者は、LayerZeroのEndpointV2のlzReceive関数の重大な脆弱性を特定し、悪用しました。手法としては、Unichain EID 30320を用いてテストネットのピアを登録し、1対1の分散検証者ネットワーク(DVN)の承認設定を悪用するものでした。これにより、攻撃者は標準の検証プロトコルを回避した偽のクロスチェーンメッセージを作成・送信し、正当な裏付け資産なしにvaultからrsETHを不正に解放させることが可能となりました。

盗まれたrsETHは、トークンの流通総量の約18％に相当し、DeFiエコシステム全体に即時のシステム的懸念を引き起こしました。

クロスプロトコルの感染と不良債権危機

盗まれた資産を保持せず、攻撃者は未裏付けのrsETHを複数のレンディングプロトコルに担保として急速に展開し、連鎖的な不良債権の事態を引き起こしました。

- Aave V3 (Ethereum): -52,834 WETH借入
- Aave V3 (Arbitrum): -29,782 WETHと821 wstETH借入
- Compound V3およびEuler：追加で2,300万～5,900万ドルの借入

影響を受けたプロトコル全体の不良債権総額は$200 百万ドルを超え、プロトコルの一時停止後、rsETH担保は事実上価値を失いました。これにより、この事件は単なるブリッジの脆弱性を突いた攻撃にとどまらず、DeFiの相互接続されたアーキテクチャの耐性を試すクロスプロトコルの感染事件となりました。

市場への即時影響

この脆弱性は、市場に大きな反応とプロトコルレベルの緊急対応を引き起こしました。

- AaveのTVLは$7 十億ドル超に急落し、ETHの大量引き出しにより、影響を受けた市場の利用率は100％に達しました
- ネイティブトークンの下落：$AAVE は約20％減少、$ZRO (LayerZero)は約30％下落
- Aave V3、V4、SparkLend、Fluid、UpshiftでrsETH担保の緊急凍結
- Lido EarnはrsETHのエクスポージャー懸念によりearnETHの預入を停止
- LayerZeroブリッジを利用する複数のプロジェクトが予防的に一時停止を実施

二次的リスクとして、ETHの清算失敗、USDT借入インセンティブの問題、ArbitrumのAave展開における集中した不良債権の露呈などが浮上しています。これらはUmbrellaの包括的な保護範囲に含まれない可能性もあります。

緊急対応と現状

KelpDAOのセキュリティチームは、検知から約1時間以内に対応し、4月18日18:21 UTCにプロトコル全体の一時停止を実施しました。この迅速な対応により、2回の追加攻撃試行を阻止しました。チームは公式声明を出し、ホワイトハットとの交渉に前向きであることを表明し、LayerZero、Unichain、第三者監査人と協力して根本原因の分析を進めています。

Aaveのガバナンスは、資金の回収や不足分の補填のための資金運用、ETHスロープ2レートの引き上げなど、資金調達やプロトコルの安定化に関する議論を開始しています。Chaos Labsの分析によると、不良債権の約$177 百万ドルは清算済みですが、Arbitrumのエクスポージャーは未解決のままです。

ブロックチェーン調査員のZachXBTなどは、盗まれた資金の追跡をTornado Cashに行っており、現時点での回収成功例は報告されていません。アナリストは、ブリッジされたrsETH保有者に対して15～20％のヘアカットを予測しており、KelpDAOは損失の社会化やメインネット保有者優先の戦略を検討しています。

業界への影響

この事件は、クロスチェーンブリッジのセキュリティとリキッドリステーキングトークン(LRT)の構成性にとって重要な転換点を示しています。特に、DVN設定の簡素化に伴うリスクや、構成可能なブリッジのセキュリティパラメータの根本的な脆弱性を浮き彫りにしました。この事件は、ブリッジアーキテクチャのセキュリティ基準と、相互接続されたDeFiプロトコルのシステムリスクに対する監視を強化しています。

KelpDAOの侵害は、2026年4月1日のDrift Protocolの2億8千万～2億8千5百万ドルのハックを超え、複雑なクロスチェーンインフラを標的とした攻撃の高度化傾向を示しています。2026年4月には、CoW Swapのドメインハイジャック攻撃を含む複数のインシデントで合計12億ドル超の暗号資産損失が記録されており、業界はセキュリティインフラの強化とリスク管理の堅牢化を迫られています。

影響を受けたユーザーや市場参加者は、KelpDAOやAaveの公式チャンネルからの最新情報、資金回収や補償の進展、プロトコル再開のスケジュールを注視することが推奨されます。

#KelpDAO #DeFiSecurity #CryptoHack #BridgeExploit