執筆：Yangz、Techub News
永遠眠らないWeb3の世界では、4月18日はただの平凡な一日だった。しかし、流動性再担保レースやDeFiエコシステム全体にとって、史上に残る「地震」とも呼べる出来事がチェーン上で静かに進行していた。1時間も経たないうちに、ハッカー（おそらくLazarus Groupとされる）はKelp DAOのクロスチェーンブリッジを悪用し、11.65万枚のrsETHを不正に鋳造し、約2.92億ドルの価値を生み出した。rsETHは広く担保として使われていることを考えると、ハッカーは急いで売り崩すことなく、これらの無価値な「空気証明書」をAaveなどの主流貸付プロトコルに転売し、約2.36億ドルのETHを引き出し、Aaveなどの主要プロトコルを直接不良債権の深淵に突き落とした。
これはクロスチェーンブリッジが初めて攻撃されたわけではないが、今回はWeb3業界に長らく存在してきた傷口を裂いた：基盤インフラ（プロトコル層）と上層建築（アプリケーション層）の接続に真空が生じたとき、消えた数十億の資産の責任は誰が取るべきか？
その後の半月以上の時間で、この危機は技術、責任、権力の公開された駆け引きへと変貌した。最初の「責任のなすりつけ」から、今日のLayerZero CEOの「積極的な責任引き受け」まで、これが責任の境界を巡る議論の一段落を示す。
致命的な「1/1 DVN」
この議論を理解するには、まずハッカーの攻撃手法を解明する必要がある。興味深いことに、今回の攻撃は複雑なスマートコントラクトの脆弱性に起因するものではなく、根本的な問題はある設定パラメータにあった：1-of-1 DVN。
この「DVN」とは、分散型検証者ネットワークのことで、LayerZero V2アーキテクチャにおいてクロスチェーンメッセージの検証を担当するコンポーネントだ。1-of-1の設定は、検証者が1人だけ署名すれば、そのクロスメッセージは合法とみなされて実行されることを意味する。さらに悪いことに、この「鍵」の操作権は完全にKelpの手にあるわけではなく、底層のRPCノードに依存している。ハッカーはRPCノードを毒化し、DDoS攻撃と組み合わせて、唯一の検証者ノードを乗っ取り、虚偽の「ソースチェーンの破棄記録」を送りつけた。検証者は信じて署名し、その結果、巨大な資産が不正に生成された。
では、この「1/1 DVN」の責任は一体誰が負うべきなのか？
責任のなすりつけ合い：二つの論理の衝突
攻撃発生直後の最初の期間、世論の風向きはLayerZeroにやや有利だった。SNS上にはKelp DAOを嘲笑する声が溢れ、「数億ドル規模の管理を任される主要プロトコルが、紙の扉のような1/1検証者を使うなんて、ほとんど許せない」といった批判もあった。
しかし、4月21日にKelpが「公式説明書」を出したことで、劇的な世論の逆転が起きた。Kelpの核心的な主張は一言、「もし公式ドキュメントとデフォルト設定自体が危険なら、その責任はドキュメント作成者とデフォルト設定者にある」。これはユーザーの設定ミスではなく、製品自体の「誘導的欠陥」だという主張だ。LayerZeroのCEO Bryan Pellegrinoが応答の中で何度も強調したのは、これはアプリケーション層の選択であり、プロトコル層の脆弱性ではないということだったが、非難の焦点は次第にKelpの「無能さ」からLayerZeroの「体系的な傲慢さ」へと移った。すなわち、デフォルト設定にリスクがあると知りつつ、それを入門例として標準化したことへの批判だ。
さらに、第三者開発者の声も議論を一層激化させた。Yearnのコア開発者bantegは、技術レビューを通じて、LayerZero V2のクイックスタートガイドがEthereum、BNB Chain、Polygon、Arbitrum、Optimismのすべてでこの危険な単一検証設定をデフォルトとして使っていることを指摘した。Chainlinkコミュニティの責任者Zach Rynesは、より辛辣に批判し、「LayerZeroは公式ガイドに従うユーザーを『スケープゴート』にしている」と非難し、自身のインフラの脆弱さを隠すために、トップハッカー攻撃に対して脆弱な基盤を放置していると指摘した。
では、誰が正しいのか？実はどちらも完全に間違っているわけでもなく、完全に正しいわけでもない。この議論の本質は、二つの論理の衝突にある。一つは「ギーク倫理」：ツールは中立であり、使用者は自らの選択に責任を持つべきだという考え方。もう一つは「安全デフォルト原則」：製品の出荷状態は最も安全な状態であるべきだという考え方だ。便利さのためにユーザーが意図的にリスクを取ることは許されるが、製品は危険に誘導すべきではない。
従来のソフトウェア工学では、「安全デフォルト」が常識となっている。OSはデフォルトでファイアウォールを有効にし、ブラウザはポップアップをブロックする。これらの設計選択は、ユーザーが愚かだからではなく、システム設計者が「最悪のケース」を予見し責任を持つためだ。しかし、Web3の世界では、別の論理が信奉されている：「自己責任」—あなたの秘密鍵は自分で管理し、設定も自分で確認し、損失も自分で負う。
Bryanの「責任引き受け」：慎重に設計された撤退
世論の攻撃と資本市場の二重の圧力の中で、ZROの価格は最も正直な体温計となり、1.98ドルの高値から1.32ドルへと陰りを見せた。5月5日、これまで強硬だったBryan Pellegrinoはついに屈服し、「I was wrong」と認めた。
今回は、「技術的中立」のこだわりから離れ、「認知の歪み」に陥ったと自己分析し、ユーザーが1/1の弱い設定を識別し回避する専門的自覚を持つと誤って仮定していたと述べた。その後、彼は市場回復のための処方箋を示した：資産発行者へのサービス重視、安全設定の強化、そしてDeFi Unitedと連携しrsETHの災害復旧に深く関与する。
もちろん、この声明の巧みさは、「未完の言葉」にもある。
Bryanは「補償」という言葉も口にせず、Kelp DAOに過失がないとも認めていない。彼は「我々にはより良くできる機会がある」という一言で、2.92億ドルに関わる事故を、「卓越性追求の過程での遺憾」として巧みに転換した。
これは綿密に計算された態度だ。LayerZeroは、おそらく自腹を切ってこの約3億ドルのブラックホールを埋めるつもりはなく、しかしこの「間接的責任」を引き受けることで損失を最小化しようとしている。クロスチェーンレースの覇者として、ツールだけを提供し責任を負わないなら、その防御壁は虚構に過ぎないと気づいているのだ。責任を引き受けることで、LayerZeroは自分自身と、揺らぐZRO価格のために、体裁の良い踏み台を探している。
結び
2.92億ドルの損失は、単なる帳簿上の赤字ではなく、DeFiの信頼基盤に対する全方位の圧力テストだ。幸いなことに、プロトコル間の責任のなすりつけ合いにもかかわらず、業界はある種の畏敬すべき「自己修復」の粘り強さを示している。
最も被害の大きかった借入プロトコルAaveは、ただ座して待つことはなかった。米国の法律事務所Gerstein HarrowがArbitrum DAOの約7100万ドルのETHを差し押さえようとした際、流動性の枯渇を緩和するために、Aaveのガバナンスチームは緊急動議を提出し、制限通知の解除を裁判所に求めた。同時に、Aave主導の複数のプロトコルが自発的に形成したDeFi United計画は、突破的な進展を見せている。多方面からの資金注入と収益共有メカニズムにより、すでに3億ドル超の資金を調達し、Aaveプラットフォーム上の不良債権を着実に吸収している。
今回の事件は確かに痛ましいが、もしこれがインフラ側の「安全境界」への畏敬や、開発者の「デフォルト設定」への警戒心、そして危機における業界の協調的な自助能力を育むきっかけとなるなら、その学費も無駄ではないだろう。Bryan Pellegrinoが「我々にはより良くできる機会がある」と語った瞬間、DeFi Unitedがエコシステムの穴を埋めるとき、彼らが守ろうとしているのは、rsETHの不良債権だけでなく、この変動に満ちた分散化された世界への最後の信頼の糸なのだ。
680.84K 人気度
58.85M 人気度
42.91K 人気度
1.08M 人気度
51.99K 人気度
誰が「デフォルト設定」の代金を支払うべきか？rsETH強盗事件から半月、LayerZeroのCEOが「積極的に責任を引き受ける」
執筆：Yangz、Techub News
永遠眠らないWeb3の世界では、4月18日はただの平凡な一日だった。しかし、流動性再担保レースやDeFiエコシステム全体にとって、史上に残る「地震」とも呼べる出来事がチェーン上で静かに進行していた。1時間も経たないうちに、ハッカー（おそらくLazarus Groupとされる）はKelp DAOのクロスチェーンブリッジを悪用し、11.65万枚のrsETHを不正に鋳造し、約2.92億ドルの価値を生み出した。rsETHは広く担保として使われていることを考えると、ハッカーは急いで売り崩すことなく、これらの無価値な「空気証明書」をAaveなどの主流貸付プロトコルに転売し、約2.36億ドルのETHを引き出し、Aaveなどの主要プロトコルを直接不良債権の深淵に突き落とした。
これはクロスチェーンブリッジが初めて攻撃されたわけではないが、今回はWeb3業界に長らく存在してきた傷口を裂いた：基盤インフラ（プロトコル層）と上層建築（アプリケーション層）の接続に真空が生じたとき、消えた数十億の資産の責任は誰が取るべきか？
その後の半月以上の時間で、この危機は技術、責任、権力の公開された駆け引きへと変貌した。最初の「責任のなすりつけ」から、今日のLayerZero CEOの「積極的な責任引き受け」まで、これが責任の境界を巡る議論の一段落を示す。
致命的な「1/1 DVN」
この議論を理解するには、まずハッカーの攻撃手法を解明する必要がある。興味深いことに、今回の攻撃は複雑なスマートコントラクトの脆弱性に起因するものではなく、根本的な問題はある設定パラメータにあった：1-of-1 DVN。
この「DVN」とは、分散型検証者ネットワークのことで、LayerZero V2アーキテクチャにおいてクロスチェーンメッセージの検証を担当するコンポーネントだ。1-of-1の設定は、検証者が1人だけ署名すれば、そのクロスメッセージは合法とみなされて実行されることを意味する。さらに悪いことに、この「鍵」の操作権は完全にKelpの手にあるわけではなく、底層のRPCノードに依存している。ハッカーはRPCノードを毒化し、DDoS攻撃と組み合わせて、唯一の検証者ノードを乗っ取り、虚偽の「ソースチェーンの破棄記録」を送りつけた。検証者は信じて署名し、その結果、巨大な資産が不正に生成された。
では、この「1/1 DVN」の責任は一体誰が負うべきなのか？
責任のなすりつけ合い：二つの論理の衝突
攻撃発生直後の最初の期間、世論の風向きはLayerZeroにやや有利だった。SNS上にはKelp DAOを嘲笑する声が溢れ、「数億ドル規模の管理を任される主要プロトコルが、紙の扉のような1/1検証者を使うなんて、ほとんど許せない」といった批判もあった。
しかし、4月21日にKelpが「公式説明書」を出したことで、劇的な世論の逆転が起きた。Kelpの核心的な主張は一言、「もし公式ドキュメントとデフォルト設定自体が危険なら、その責任はドキュメント作成者とデフォルト設定者にある」。これはユーザーの設定ミスではなく、製品自体の「誘導的欠陥」だという主張だ。LayerZeroのCEO Bryan Pellegrinoが応答の中で何度も強調したのは、これはアプリケーション層の選択であり、プロトコル層の脆弱性ではないということだったが、非難の焦点は次第にKelpの「無能さ」からLayerZeroの「体系的な傲慢さ」へと移った。すなわち、デフォルト設定にリスクがあると知りつつ、それを入門例として標準化したことへの批判だ。
さらに、第三者開発者の声も議論を一層激化させた。Yearnのコア開発者bantegは、技術レビューを通じて、LayerZero V2のクイックスタートガイドがEthereum、BNB Chain、Polygon、Arbitrum、Optimismのすべてでこの危険な単一検証設定をデフォルトとして使っていることを指摘した。Chainlinkコミュニティの責任者Zach Rynesは、より辛辣に批判し、「LayerZeroは公式ガイドに従うユーザーを『スケープゴート』にしている」と非難し、自身のインフラの脆弱さを隠すために、トップハッカー攻撃に対して脆弱な基盤を放置していると指摘した。
では、誰が正しいのか？実はどちらも完全に間違っているわけでもなく、完全に正しいわけでもない。この議論の本質は、二つの論理の衝突にある。一つは「ギーク倫理」：ツールは中立であり、使用者は自らの選択に責任を持つべきだという考え方。もう一つは「安全デフォルト原則」：製品の出荷状態は最も安全な状態であるべきだという考え方だ。便利さのためにユーザーが意図的にリスクを取ることは許されるが、製品は危険に誘導すべきではない。
従来のソフトウェア工学では、「安全デフォルト」が常識となっている。OSはデフォルトでファイアウォールを有効にし、ブラウザはポップアップをブロックする。これらの設計選択は、ユーザーが愚かだからではなく、システム設計者が「最悪のケース」を予見し責任を持つためだ。しかし、Web3の世界では、別の論理が信奉されている：「自己責任」—あなたの秘密鍵は自分で管理し、設定も自分で確認し、損失も自分で負う。
Bryanの「責任引き受け」：慎重に設計された撤退
世論の攻撃と資本市場の二重の圧力の中で、ZROの価格は最も正直な体温計となり、1.98ドルの高値から1.32ドルへと陰りを見せた。5月5日、これまで強硬だったBryan Pellegrinoはついに屈服し、「I was wrong」と認めた。
今回は、「技術的中立」のこだわりから離れ、「認知の歪み」に陥ったと自己分析し、ユーザーが1/1の弱い設定を識別し回避する専門的自覚を持つと誤って仮定していたと述べた。その後、彼は市場回復のための処方箋を示した：資産発行者へのサービス重視、安全設定の強化、そしてDeFi Unitedと連携しrsETHの災害復旧に深く関与する。
もちろん、この声明の巧みさは、「未完の言葉」にもある。
Bryanは「補償」という言葉も口にせず、Kelp DAOに過失がないとも認めていない。彼は「我々にはより良くできる機会がある」という一言で、2.92億ドルに関わる事故を、「卓越性追求の過程での遺憾」として巧みに転換した。
これは綿密に計算された態度だ。LayerZeroは、おそらく自腹を切ってこの約3億ドルのブラックホールを埋めるつもりはなく、しかしこの「間接的責任」を引き受けることで損失を最小化しようとしている。クロスチェーンレースの覇者として、ツールだけを提供し責任を負わないなら、その防御壁は虚構に過ぎないと気づいているのだ。責任を引き受けることで、LayerZeroは自分自身と、揺らぐZRO価格のために、体裁の良い踏み台を探している。
結び
2.92億ドルの損失は、単なる帳簿上の赤字ではなく、DeFiの信頼基盤に対する全方位の圧力テストだ。幸いなことに、プロトコル間の責任のなすりつけ合いにもかかわらず、業界はある種の畏敬すべき「自己修復」の粘り強さを示している。
最も被害の大きかった借入プロトコルAaveは、ただ座して待つことはなかった。米国の法律事務所Gerstein HarrowがArbitrum DAOの約7100万ドルのETHを差し押さえようとした際、流動性の枯渇を緩和するために、Aaveのガバナンスチームは緊急動議を提出し、制限通知の解除を裁判所に求めた。同時に、Aave主導の複数のプロトコルが自発的に形成したDeFi United計画は、突破的な進展を見せている。多方面からの資金注入と収益共有メカニズムにより、すでに3億ドル超の資金を調達し、Aaveプラットフォーム上の不良債権を着実に吸収している。
今回の事件は確かに痛ましいが、もしこれがインフラ側の「安全境界」への畏敬や、開発者の「デフォルト設定」への警戒心、そして危機における業界の協調的な自助能力を育むきっかけとなるなら、その学費も無駄ではないだろう。Bryan Pellegrinoが「我々にはより良くできる機会がある」と語った瞬間、DeFi Unitedがエコシステムの穴を埋めるとき、彼らが守ろうとしているのは、rsETHの不良債権だけでなく、この変動に満ちた分散化された世界への最後の信頼の糸なのだ。