#rsETHAttackUpdate

ケルプDAOブリッジハッキング、DeFiに100億ドルの衝撃

2026年4月18日土曜日、暗号市場は今年最大のDeFi攻撃に見舞われた。ハッカーは、Kelp DAOのrsETHトークンをチェーン間で移動させるLayerZero搭載のブリッジから、正確に116,500 rsETH（約2億9200万ドル相当）を流し去った。攻撃はUTC17:35の一回の取引で行われた。攻撃者は偽造されたLayerZeroパケットでブリッジを騙し、rsETHを空にした。

何が起きたのか？技術的な詳細
単一DVNの脆弱性：ユニチェーンからイーサリアムへのブリッジルートは1つのDVN設定で動作しており、検証者は一人だけだった。攻撃者はRPCノードを操作し、偽のパケットを作成し、唯一の検証者がそれに署名した。
ブリッジの流出：イーサリアム上のOFTアダプターは116,723 rsETHを保持していた。攻撃後、残高はわずか223 rsETHに減少した。
資金の行き先：盗まれたrsETHのうち、89,567はAave V3に担保として預けられた。その後、ハッカーは82,650 WETHと821 wstETHをそれに対して借り入れた。ヘルスファクターは1.01から1.03の間で、清算の危険性ギリギリの状態だった。

ケルプDAOチームは緊急のマルチシグを発動し、46分以内にすべてのコントラクトを停止した。もし行動しなかった場合、攻撃者はさらに40,000 rsETHを引き出し、総損失を3億9100万ドルにまで拡大させる可能性があった。

暗号市場への影響：ドミノ倒しの展開

1. Aaveの流動性危機
Aaveは総rsETH供給の83％を保有していた。ハッカーが担保を預けて借り入れを行ったことで、Aaveは突然1億2400万ドルから2億3000万ドルの潜在的な不良債権にさらされた。
結果：
AaveのTVLは450億ドルから300億ドルに3日で減少し、33％の下落。
ユーザーはパニックになり資金を引き揚げ、約101億ドルの資産が流出。
ETHの借入金利は2％から8％に跳ね上がり、2024年1月以来の最高水準に。
USDTとUSDCの借入金利も3.4％から14％に急騰。

AaveはrsETHとwrsETHの市場をイーサリアム、Arbitrum、Avalanche、Base、Linea、Mantleを含む11ネットワークで凍結した。

2. 価格動向とTVLの減少
AAVEトークンは15％から18％の価値を失った。
全体のDeFi TVLは4月18日に990億ドルから890億ドルに減少し、100億ドルの喪失。
ジャスティン・サンは一度に65,580 ETH（約1億5400万ドル）を引き出した。

3. 連鎖反応
SparkLendとFluidもrsETH市場を閉鎖。LidoはrsETH関連商品の新規預入を停止。リレーインフラは稼働し続けたが、AaveのWETH市場にロックされた担保のため、ボールトの引き出しは停止した。

誰が責任者か？注目が集まる
LayerZeroはLazarusグループを指摘。RWATimesの報告は彼らのTraderTraitorサブグループを示唆。攻撃者のウォレットはTornado Cashを通じて資金提供されていた。

重要な詳細：LlamariskとAaveの報告によると、Aave自身のコントラクトは侵害されていなかった。問題は完全にKelp DAOのブリッジ設定にあった。

回復計画：30,000 ETHの救済策
MantleはAave DAOに最大30,000 ETHの貸付を提案し、不良債権をカバー。ローン期間は36か月、金利はLidoの利回りに1％を加えたもの。スタニ・クレチェフは「DeFi United」のフレーズとともに支援を発表。

ケルプDAOは40,373 rsETHを回収できたが、これは全L2の152,577 rsETH需要の26％に過ぎない。メインネットのrsETHはステーキングに直接裏付けられているため、現時点では影響を受けていない。

この事件からの3つの教訓
1. ブリッジのセキュリティはDeFiのセキュリティと同じ：単一検証者DVNを運用することは、2億9200万ドルのパケットを一つに信頼することを意味する。LayerZeroを使うプロジェクトは今後、マルチDVN設定やオプションの検証者を採用する可能性が高い。
2. LRTのシステムリスク：rsETHのような流動性の高いリステーキングトークンがAaveのような巨大プロトコルに集中すると、一つの脆弱性が市場全体を揺るがす。83％の集中は過剰なリスク。
3. オラクルの遅れ：ハッキング中、AaveはrsETHの価格をペッグ付近に維持し、106,467 ETHの借り入れを許可していた。ブリッジの脆弱性は価格フィードに十分に反映されなかった。

今後の展望
短期的には、L2上のrsETHは流動性が低いまま。ブリッジの40,373 rsETHは全L2のrsETHをカバーできないため、Arbitrum、Base、MantleのrsETHはしばらくレシートのように振る舞う。

中期的には、Aaveの不良債権がMantleのローンとKelp DAOの返済によって解消されれば、信頼は回復する可能性がある。規制当局はブリッジの基準により厳しい目を向けるだろう。アルジャジーラ・エコノミーの報告によると、この攻撃は2026年のDeFiセキュリティ侵害の増加傾向の一部だ。

最後の考え
#rsETHAttackUpdate は単にKelp DAOを攻撃しただけではない。Aaveが100億ドルを失ったことは、DeFiがいかに相互に連結しているかを示している。今後は、何を監査しているのかよりも、ブリッジの監査を誰が行っているのかが重要になるだろう。

続報に注目してほしい。ケルプDAOが回収した40,373 rsETHをどう分配するかは未だ不明だが、その決定次第でL2上のrsETH保有者の損失が決まる。