#KelpDAOBridgeHacked

2026年4月18日、ケルプDAOは今年最大の暗号通貨の脆弱性攻撃の被害者となり、ハッカーによって約2億9200万ドルから2億9400万ドルがクロスチェーンブリッジインフラから流出しました。攻撃は、rsETH (再ステークされたEther)トークンの複数のブロックチェーンネットワーク間の転送を可能にする、プロトコルのLayerZero搭載ブリッジを標的としました。この事件は、分散型金融エコシステムにおける重大な侵害を示しており、暗号コミュニティに衝撃を与えています。
ケルプDAOとは何か
ケルプDAOは、流動性のあるリステーキングプロトコルとして運営されており、ユーザーはstETHやcbETHなどの人気のステーキングトークンを預け入れることで、rsETHトークンを受け取ることができます。これらのrsETHトークンは「再ステークされた」Etherを表し、ユーザーはアイドル状態の暗号通貨投資に対して利回りを得ながら流動性を維持できます。プロトコルのブリッジインフラはLayerZero技術を用いて構築されており、Base、Arbitrum、Linea、Blast、Mantle、Scrollなど20以上の異なるブロックチェーンネットワーク間でこれらのトークンの移動を促進します。
攻撃の仕組み
この脆弱性は、クロスチェーンメッセージングシステムの巧妙な操作を通じて発生しました。攻撃者は、偽のクロスネットワークメッセージを送信し、有効な指示のように見せかけて、システムを誘導し、116,500 rsETHトークンを攻撃者のアドレスに送金させました。この量は、攻撃時点でのrsETHの流通総量の約18％に相当しました。
Cyversのセキュリティ専門家は、攻撃者が状態検証とメッセージ伝達の脆弱性を悪用し、セキュリティ対策を回避して担保を抽出したと説明しています。この手法により、裏付けのないrsETHトークンが作成され、それを用いてETHなどの実資産を借り入れることが可能になりました。この仕組みは、クロスチェーンブリッジの脆弱性が急速に拡大し、一つのプロトコルの侵害だけでなく、複数のプラットフォームに影響を及ぼすクロスプロトコルの感染事象を引き起こす可能性を示しています。
即時対応と被害の抑制
rsETHに関わる疑わしいクロスチェーン活動を検知した直後、ケルプDAOはEthereumメインネットおよびいくつかのレイヤー2ネットワーク上のすべてのrsETHコントラクトを即座に停止しました。プロトコルはLayerZero、Unichain、監査人、セキュリティ専門家と連携し、根本原因の分析を行いました。この緊急対応により、さらなる被害の拡大を防ぎましたが、既に盗まれた資産を取り戻すことはできませんでした。
この攻撃により、複数のDeFiプラットフォームで緊急の凍結措置が取られました。最大のDeFiレンディングプロトコルであるAaveは、EthereumとArbitrumの両方でrsETH市場を凍結し、追加の不良債権の発生を防ぎました。業界の推定によると、Aaveはこの事件により$123 百万ドルから$230 百万ドルの損失を被る可能性があります。Lidoは、レバレッジポジションを通じて約2160万ドルのエクスポージャーを報告し、損失バッファとして$3 百万ドルを利用する可能性を示唆しています。
責任の所在と調査
複数の情報源は、この攻撃を北朝鮮のハッカー、特にラザルスグループ（TraderTraitorとも呼ばれる）に帰しています。LayerZeroは、4月18日に攻撃者がDVN (Decentralized Validator Network)を標的とし、下流のRPCインフラを汚染したと特定しました。攻撃者は、DVNが使用しているRPCリストにアクセスし、別々のクラスター上で動作する2つの独立したノードを侵害し、op-gethノードのバイナリを差し替えました。
この帰属は、北朝鮮が暗号通貨プラットフォームを標的とする既存のパターンと一致しています。利用可能なデータによると、北朝鮮のハッカーは2025年に10億ドル以上の暗号通貨を盗み出し、2017年以降の総獲得額は約$2 十億ドルにのぼります。セキュリティ専門家は、この攻撃が北朝鮮の忍耐強い侵入、信頼の操作、検知抑制の典型的な手法を示していると指摘しています。
責任追及とLayerZeroとの対立
事件後、ケルプDAOとLayerZeroの間で責任の所在について争いが生じました。ケルプDAOは、LayerZeroのデフォルト設定がこの大規模な災害の原因であると主張し、インフラ提供者の設定の選択が脆弱性を生んだと示唆しました。これに対しLayerZeroは、ケルプDAOの特定の設定に問題があったと反論し、以前にDVNの多様化に関するベストプラクティスを伝えていたことを強調しました。
この意見の対立は、分散型金融における責任の所在の複雑さを浮き彫りにしています。複数の関係者がセキュリティインフラに関与しているため、失敗の責任を明確にすることは難しく、対応や回復の遅れを招く可能性があります。
DeFiへのより広範な影響
ケルプDAOのハッキングにより、2026年4月のDeFiの総損失額は$6 百万ドルを超え、暗号通貨史上最も被害の大きい月の一つとなりました。この事件は、2026年4月1日に発生したドリフトプロトコルの脆弱性による損失約$600 百万ドルに続くもので、こちらも北朝鮮のハッカーによるものとされています。
この攻撃は、従来最も脆弱とされてきたDeFiインフラの一つであるクロスチェーンブリッジのセキュリティに関する議論を再燃させました。多くの監査とセキュリティ対策にもかかわらず、ブリッジは複雑さと大量の価値を保護しているため、巧妙な攻撃者にとって魅力的なターゲットであり続けています。
また、この事件は現代のDeFiプロトコルの相互接続性の脆弱性も露呈しました。ケルプDAOのブリッジへの攻撃が、流動性危機や不良債権の拡大へと連鎖し、一つのプロトコルの脆弱性がエコシステム全体のシステムリスクを引き起こすことを示しています。
コミュニティの反応と市場への影響
暗号コミュニティは、このハッキングを受けて懸念と自己反省の声を上げています。ソーシャルメディア上では「DeFiは死んだ」というフレーズが流れ、また大規模な脆弱性の影響に対する懸念が広がっています。2026年4月17日にEthereumの価格は2,300ドルに下落し、市場は引き続き変動性を織り込んでいます。
この脆弱性は、セキュリティ強化、ブリッジ設計の改善、DeFiプロトコルの透明性向上を求める声を高めています。業界関係者は、クロスチェーンの相互運用性に対する現行のアプローチは根本的な見直しが必要であると認識し始めています。
教訓と今後の展望
ケルプDAOのブリッジハックは、クロスチェーンDeFiプロトコルに内在するリスクを痛感させる出来事です。この事件からいくつかの重要な教訓が導き出されます：
第一に、クロスチェーンブリッジの複雑さは、多くの攻撃ベクトルを生み出し、巧妙な攻撃者に悪用される可能性があります。監査やセキュリティレビューにもかかわらず、異なるブロックチェーンネットワークとメッセージングプロトコルの相互作用は、標準的なセキュリティ評価では見落とされがちな脆弱性をもたらします。
第二に、DeFiプロトコルの相互接続性は、攻撃が迅速に複数のプラットフォームに波及し、最初の侵害を超えた被害を拡大させるリスクを伴います。このシステムリスクには、調整された対応メカニズムとプロトコル間の隔離の強化が必要です。
第三に、国家支援のハッカーによる攻撃は、暗号通貨のセキュリティにおける脅威の進化を示しています。資源と忍耐力を持つ国家主体の攻撃者は、個人のハッカーや犯罪グループとは根本的に異なる挑戦をもたらします。
第四に、ケルプDAOとLayerZeroの間の責任追及の対立は、DeFiインフラにおける責任の枠組みの明確化の必要性を浮き彫りにしています。複数の関係者がプロトコルのセキュリティに関与している場合、責任の所在を明確にすることは複雑であり、対応や回復の遅れを招く可能性があります。
結論
ケルプDAOのブリッジハックは、2026年のDeFi業界にとって重要な転換点となりました。約$285 百万ドルが盗まれ、複数のプロトコルに波及効果をもたらしたこの事件は、クロスチェーンインフラの重大な脆弱性を露呈し、国家支援の脅威者の高度な能力を浮き彫りにしました。業界がその後の対応に苦慮する中、この攻撃は、セキュリティを最優先とした分散型金融システムの開発において、技術的な改善だけでなく、リスク管理や責任追及、クロスプロトコルの調整において根本的な変革が必要であることを強く示しています。