先ほど、Kelp DAOで何が起こったのかを理解しましたが、正直言って、これは2026年のDeFi史上最も残酷な物語の一つです。46分の間に、エコシステムから2億9300万ドルが消えました。コードの誤りでもスマートコントラクトの脆弱性でもなく、単なる設定ミスがシステム危機に発展したのです。

以下がその経緯です：攻撃者はLayerZeroのクロスチェーンブリッジKelpをDVN 1/1の設定で利用しました。実質、チェーン間のメッセージ検証は一つのノードに依存していました。このノードを侵害または騙すことで、攻撃者は偽のメッセージを送信し、資産のロックを確認したと偽装しました。ブリッジは、実際のETHをロックせずに、アドレス(に116,500 rsETH（約18%の流通供給）を発行しました)。トークンはまるで空気から作り出されたかのようです。

その後、状況はさらに悪化しました。攻撃者はトークンを市場に流す代わりに、担保なしのrsETHをAave V3に預け入れ、実際のWETHを2億3600万ドル借り入れ、その後Aave V4でも同じ操作を繰り返しました。Kelp DAOが(18:21 UTC)にコントラクトを凍結するまでに、実資産はすでに流出し始めていました。さらに、もう一度1億ドルずつの流出を試みましたが、両方ともブロックされました。しかし、最初の攻撃はすでにDeFi全体に波及していました。

Aaveは罠に陥りました。KelpがrsETHを停止したことで、その資産を担保とした借入ポジションは清算不能になり、Aaveは1億9600万ドルの不良債権を抱えることになりました。WETHプールは100%の利用率に達し、一部のユーザーは一時的に資金を引き出せなくなりました。パニックは瞬時に広がり、数時間でAaveからの資金引き出しは54億ドルに達しました。TVLは260億ドル超から220億ドルに減少し、1日で66億ドルの損失です。AAVEトークンは24時間で20%下落し、現在は約95.54ドルで取引されています(。

最も恐ろしいのは、LayerZeroのミスではなかったことです。これは、Kelp DAOがプロトコルが許可する中央集権的な設定を選択した結果です。この設定は危険な単一障害点を生み出します。Curve Financeの創設者ミハイル・エゴロフは明言しました：「一方に信頼を置くと、何でも起こり得る」。

この感染は少なくとも9つのプラットフォームに拡散しました：SparkLend、Fluid、Lido)はEarnETHのサービスを停止、Compound V3、Eulerなども影響を受けました。Even EthenaもLayerZeroブリッジを一時停止し、安全措置を取りましたが、直接的な被害はありませんでした。

資金はほぼ確実に失われました。攻撃者はすでにTornado Cashを通じて資金を洗浄し、ETHを複数のウォレットに分散させています。Tronのジャスティン・サンは「攻撃者と話す」提案をしましたが、これは演劇のようで、追跡はすでに冷え切っています。

この事件は業界に何を意味するのでしょうか？ rsETHはETHに連動した信頼された資産と考えられていました。暗黙の前提は、ステーキングトークンも基本資産と同じくらい安全だというものでした。しかし、その前提は崩れました。Kelp DAOは、実際に売却できない資産を抱え、Aaveは誰も引き出せない最大借入のETHを抱えたままです。

今後、業界は複数のDVNを持つ橋の標準化や、貸付プロトコルのより厳格な規格を求める動きが予想されます。しかし、それまではrsETHは20以上のチェーンで不安定な状態にあり、Kelpが検証済みのリザーブ照合を公開するまで、支援は不確定です。

これは今年の最初の大規模なハッキングではありません。3月にResolv Labsが8000万ドルを失い、4月1日にDrift Protocolが2億8500万ドルを失いました(後に北朝鮮の関与と関連付けられました)。CoW Swap、Zerion、Rhea Financeも4月に被害を受けました。2026年のDeFiの総損失はすでに4億5000万ドルを超え、約45のプロトコルに及びます。Ledgerのセキュリティ責任者は、「今年はおそらく最悪のハッキング年になるだろう」と述べています。

投資家への最大の教訓は、DeFiのコンポーザビリティは両刃の剣だということです。エコシステムを強力にしているのは相互接続性ですが、それが最も速い感染経路にもなっています。ひとつのプロトコルの脆弱性が、数分でシステム全体のイベントに変わるのです。rsETHや借入ポジションを持つ場合は、公式発表に注意し、情報不足によるパニック的な決定を避けてください。ただし、「安全」とされるプラットフォームでも流動性リスクは無視できません。

これは厳しい警告です：DeFiにおいて信頼は単なる技術だけでなく、アーキテクチャでもあります。Kelp DAOのアーキテクチャは、コードの問題ではなく、設定の選択によって脆弱になったのです。