分散型金融（DeFi）の世界で、過去最大級の救済作戦が始まった。リステーキングプロトコルであるKelpDAOがハッキングを受け、その余波が最大手のレンディングプラットフォームであるAaveにまで及んでいる。
この危機に対し、業界の主要プロジェクトが手を取り合い、不足した資金を補填する異例の取り組みが動き出している。分散型を掲げるエコシステムが、どのようにして中央集権的なスピード感で対応しようとしているのか、その詳細を追う。
KelpDAOハックの全貌とAaveへの連鎖
2026年4月23日、KelpDAOとブリッジプロジェクトであるLayerZeroの統合部分に存在した脆弱性が突かれた。攻撃者はシステムの不備を悪用し、裏付け資産のない偽のrsETHトークンを11万6,500枚も不正に発行した。
rsETHとは、イーサリアム（ETH）をステーキングした際の「預り証」をさらに運用に回す、リキッド・リステーキング・トークン（LRT）と呼ばれるものだ。いわば「預り証の預り証」のような存在である。
攻撃者はこの価値のない偽のrsETHをAaveに預け入れ、それを担保に本物のETHなど約1億9,000万ドル相当の資産を借り出した。Aaveから見れば、価値があると思っていた担保が実は空っぽだったという事態に陥ったのだ。
Aaveを襲った「不良債権」のリスクと100億ドルの流出
この事件の影響は甚大だった。Aaveの担保が毀損したことが判明すると、預金者たちは一斉に資金を引き出し始めた。この「取り付け騒ぎ」により、Aave上の総預かり資産（TVL）は短期間で100億ドルも減少した。
Aaveのインシデントレポートによれば、不足しているrsETHの裏付け資産は11万2,000枚以上に上る。これを放置すれば、Aaveのシステム内に回収不能な「不良債権」が残り続け、プロトコルの安定性を揺るがすことになる。
つまり、攻撃者が持ち逃げした本物のETHの穴を誰かが埋めない限り、Aaveを利用している一般ユーザーの資産がリスクにさらされ続けるということだ。被害額は約2億9,200万ドルに達し、今年最大のハッキング事件となった。
業界一丸の救済策「DeFi United」の始動
事態を重く見たAaveのサービスプロバイダーたちは、「DeFi United」と名付けられた救済イニシアチブを立ち上げた。これは、ハックによって生じたrsETHの裏付け資産の穴を、複数の主要プロジェクトが協力して埋めるというものだ。
この動きは、単一のプロジェクトの救済を超え、DeFi市場全体の信頼性を維持するための防衛策といえる。すでに複数の有力な参加者が、具体的な支援策を打ち出している。
LidoやEtherFiによるETH拠出プラン
最初に行動を起こしたのは、ステーキング最大手のLido Financeだ。Lido Labs Foundationは、最大2,500 stETHを拠出する提案を行った。これは現在の価格で約570万ドル（1ETHあたり2,300ドル付近）に相当する。
続いて、リステーキング分野の大手であるEtherFiも、5,000 ETHを拠出する計画を発表した。これらの資金は、rsETHの裏付けを回復させ、レンディング市場での強制清算を未然に防ぐために使用される。
強制清算とは、担保の価値が下がった際にシステムが自動で資産を売却する仕組みだ。偽のrsETHの価値がゼロとみなされれば、無実のユーザーまで巻き込まれる恐れがあったが、この救済策によってそのリスクを低減させようとしている。
創設者スタニ・クレチョフ氏の決意
Aaveの創設者であるスタニ・クレチョフ氏も、個人として5,000 ETHを拠出することを表明した。同氏はSNS上で、Aaveは自身の生涯をかけた仕事であり、ユーザーのために最善の結果を見出すべく不眠不休で取り組んでいると述べている。
このように、トッププレイヤーが身銭を切って対応する姿勢は、パニックに陥った市場を落ち着かせる一定の効果を発揮している。Aaveは今後も、正式な合意が取れ次第、さらなる支援コミットメントを発表する予定だ。
リステーキング市場が直面する信頼の試練
今回の事件は、急速に拡大したリステーキング市場の危うさを浮き彫りにした。リステーキングとは、一度ステーキングしたETHを別のネットワークのセキュリティ強化にも使い、報酬を二重取りする仕組みだ。
効率的に収益を上げられる一方で、その構造は非常に複雑だ。複数のプロトコルが重なり合っているため、どこか一箇所に脆弱性があれば、ドミノ倒しのように被害が拡大するリスクを孕んでいる。
リキッド・リステーキング・トークン（LRT）の構造的リスク
rsETHのようなLRTは、DeFiの「コンポーザビリティ（構成可能性）」を象徴する存在だ。レゴブロックのように異なるサービスを組み合わせられるのはDeFiの強みだが、今回はそれが裏目に出た格好だ。
偽のトークンがAaveのような主要プラットフォームで担保として認められてしまったことは、資産の審査プロセスに課題があることを示している。今後は、新しいトークンを担保として採用する際の基準が、これまで以上に厳格化されるだろう。
ブリッジ技術とセキュリティの課題
ハックの根本原因がLayerZeroとの統合における脆弱性だった点も見逃せない。異なるブロックチェーン同士を繋ぐブリッジ技術は、常にハッカーの標的になりやすい急所だ。
メッセージングシステムが悪用され、実際には資産が移動していないのに「移動した」という虚偽の情報をシステムが信じてしまった。技術の進歩にセキュリティが追いついていない現状が、改めて浮き彫りになったといえる。
犯人の追跡と一部資金の凍結状況
被害額のすべてが失われたわけではない。事件発生直後から、関係各所による資金の追跡と凍結が行われている。Arbitrumのセキュリティ評議会は、ハックに関連した3万766 ETH（約7,100万ドル相当）を迅速に凍結することに成功した。
しかし、残りの盗まれた資金の多くは、Thorchainなどの匿名性の高いプロトコルを経由してビットコイン（BTC）に交換されている。これにより、全額を回収する難易度は非常に高くなっているのが現状だ。
一方で、ステーブルコイン発行大手のTether社も動いている。同社は米国の法執行機関からの要請を受け、Tronブロックチェーン上の3億4,400万USDTを凍結した。これが今回のハックに直接関連するかは明言されていないが、不正資金流出に対する規制の目は厳しくなっている。
独自分析：今回の事件がDeFiの未来に与える影響
今回の「DeFi United」による救済劇は、DeFiの歴史において大きな転換点になる可能性がある。これまで「コードは法なり（Code is Law）」とされ、自己責任が強調されてきた世界で、主要プレイヤーによる「事実上の公的資金注入」が行われたからだ。
これは、DeFiがより成熟し、既存の金融システムに近い「セーフティネット」を構築し始めたと評価することもできる。一方で、特定の有力者が市場をコントロールする「中央集権化」への逆戻りだと批判する声も出るだろう。
しかし、100億ドルの資金流出という壊滅的な事態を前にして、業界が一致団結して対応したことは、エコシステム全体のレジリエンス（回復力）を示すものだ。今後は、ハックが起きた後の対応だけでなく、こうした複雑な金融商品を扱う際の「リスクの可視化」が、プロジェクト選びの重要な基準になっていくだろう。
この記事のポイント
- KelpDAOの脆弱性を突いたハックにより、約2億9,200万ドルの被害が発生した。
- 攻撃者は偽のrsETHを担保にAaveから本物の資産を借り出し、AaveのTVLは100億ドル減少した。
- 「DeFi United」が立ち上がり、LidoやEtherFi、スタニ・クレチョフ氏らがETHを拠出して不足分を補填している。
- リステーキング市場の複雑な構造とブリッジ技術のセキュリティ課題が改めて露呈した。
- Arbitrumによる資金凍結やTetherの対応など、法執行機関と連携した犯人追跡が続いている。
暗号資産とブロックチェーンの可能性を追求するエミリー。
暗号資産投資、DeFi、NFT、WEB3、メタバースといった最先端分野を深く理解し、「エミリーズ・クリプト・インサイダー」を運営。
分かりやすい解説で、ブロックチェーン革命の潮流を一般に広めることを目指す。初心者から上級者まで、最新情報を求めるすべての人に役立つ情報発信を心がけている。