暗号資産（仮想通貨）の世界で、またしても衝撃的な事件が発生した。2026年4月、リキッドリステーキングプロトコルの大手であるKelp DAO（ケルプDAO）が、同プロトコルのブリッジ機能を狙った攻撃を受け、約2億9,200万ドル（約450億円）相当の資産を失ったことが明らかになった。
この被害額は、2026年に入ってから発生したDeFi（分散型金融）関連のハッキング事件としては最大規模となる。流出したのはKelp DAOが発行する「rsETH」というトークンで、その数は116,500枚にのぼり、市場に流通している全供給量の約18％に相当するという極めて深刻な事態だ。
事件の影響はKelp DAOだけにとどまらず、rsETHを担保として扱っていたAave（アーベ）などの主要なレンディングプロトコルにも波及している。今回の事件は、近年のDeFiにおいて重要性を増している「ブリッジ」と「リステーキング」という2つの技術的接点に潜むリスクを浮き彫りにした。
Kelp DAOで発生した2026年最大のハック事件
2026年4月18日の土曜日、UTC（協定世界時）17時35分頃、Kelp DAOのシステムに異変が生じた。LayerZero（レイヤーゼロ）の技術を用いたクロスチェーンブリッジから、大量のrsETHが不正に引き出されたのだ。その額は約2億9,200万ドル付近と推定され、瞬く間にDeFi業界全体へ緊張が走った。
攻撃の規模と被害額
今回の攻撃で奪われた116,500枚のrsETHは、コインゲッコー（CoinGecko）のデータによれば、rsETHの総流通量である630,000枚の約5分の1に近い。これほどの規模の資産が一度に失われることは極めて稀であり、2026年4月1日に発生したSolanaベースのDrift（ドリフト）プロトコルでの約2億8,500万ドルの被害を上回る結果となった。
rsETHの価格はイーサリアム（ETH）の価格と連動するように設計されている。そのため、ETHの価格が2,500ドル付近で推移している現状では、被害額は日本円にして450億円を超える計算になる。これほど巨額の裏付け資産が失われたことで、rsETHの価格維持（ペッグ）に対する懸念が急速に高まっている。
rsETHの裏付け資産が失われた背景
Kelp DAOは「リキッドリステーキング」という仕組みを提供している。これは、ユーザーが預けたETHをEigenLayer（アイゼンレイヤー）などのプロトコルを通じて再運用（リステーキング）し、追加の報酬を得つつ、その預かり証としてrsETHを発行するものだ。ユーザーはrsETHを売却したり、他のDeFiで担保にしたりすることで、資産の流動性を維持できる。
しかし、rsETHがイーサリアム以外のネットワーク（レイヤー2など）でも利用されるようになると、それぞれのネットワーク間で資産を移動させるための「ブリッジ」が必要になる。今回狙われたのは、まさにこのブリッジ部分に保管されていたrsETHの「リザーブ（準備金）」だった。このリザーブは、イーサリアム以外の20以上のチェーンで発行されたrsETHの価値を担保するためのものだ。
攻撃の手口、LayerZeroブリッジを狙った高度な手法
今回のハッキングで特筆すべきは、攻撃者がLayerZeroというクロスチェーン・メッセージング・プロトコルの仕組みを巧みに悪用した点だ。LayerZeroは、異なるブロックチェーン同士が通信を行うためのインフラであり、検証済みの命令をやり取りすることで資産の移動を実現している。
メッセージングレイヤーの脆弱性
CoinDeskの報道によれば、攻撃者はLayerZeroのメッセージングレイヤーを欺き、あたかも他のネットワークから正当な指示が届いたかのように見せかけたという。この「偽の指示」を受け取ったKelp DAOのブリッジは、検証プロセスを通過したと誤認し、攻撃者が管理するアドレスに対して116,500枚のrsETHを放出する処理を実行してしまった。
メッセージングレイヤーとは、いわばブロックチェーン間の「通信回線」のようなものだ。この回線そのものが改ざんされたわけではないが、回線を通じて送られる「手紙（メッセージ）」の内容が巧妙に偽造されていた。つまり、受取人であるブリッジ側が、偽造された署名や命令を本物だと信じ込んでしまったことが直接の原因とされている。
46分間の空白と緊急停止の遅れ
攻撃が発生した17時35分から、Kelp DAOの緊急停止機能（マルチシグによる一時停止）が発動した18時21分まで、約46分間の空白時間があった。この間に攻撃者は、さらに40,000枚（約1億ドル相当）のrsETHを盗み出そうと2度の追加攻撃を試みていた。幸いにも、これら後続の試みはエラー（リバート）となり失敗に終わっている。
Kelp DAO側が公式に異常を認めたのは、攻撃開始から約3時間後のことだった。プロトコル側は「LayerZeroやUnichain、セキュリティ専門家と共に調査を進めている」と発表したが、なぜブリッジの検証ロジックがバイパスされたのか、その詳細な技術的要因については現在も開示されていない。
DeFi市場への連鎖、AaveやLidoが取った緊急措置
被害の全容が明らかになるにつれ、DeFiエコシステム全体に「連鎖倒産」のようなリスクが広がり始めた。rsETHは多くのレンディング（貸付）プラットフォームで担保資産として採用されていたため、rsETHの価値が毀損すれば、それを利用しているユーザーのポジションが強制清算される恐れがあったからだ。
主要レンディングプロトコルの市場凍結
最大手のレンディングプロトコルであるAaveは、事件発覚から数時間以内にrsETHの市場（V3およびV4）を凍結した。Aaveの創設者であるスタニ・クレチョフ氏は、この措置が予防的なものであり、Aave自体のコントラクトに問題はないと強調している。続いて、SparkLendやFluid、Upshiftといった他の主要プロトコルも、rsETHに関連するすべての取引を停止した。
また、ステーキング大手のLido Finance（リド・ファイナンス）も、rsETHへの露出（エクスポージャー）がある「earnETH」製品への新規入金を一時停止した。一方でLidoは、主力製品であるstETHやwstETHには一切の影響がないことを明確にしている。ステーブルコイン発行体のEthena（エテナ）も、予防措置としてLayerZeroを用いたブリッジを一時的に閉鎖した。
関連銘柄AAVEへの価格影響
市場はこの混乱に即座に反応した。特にAaveは、rsETHの裏付けが不十分になった場合に「不良債権」を抱えるリスクが意識され、ネイティブトークンであるAAVEの価格が一時約10％下落した。投資家は、レンディングプロトコルがどの程度の損失を被る可能性があるのかを慎重に見極めている状況だ。
リキッドリステーキング（LRT）が抱える構造的なリスク
今回の事件は、急速に成長してきたリキッドリステーキングトークン（LRT）という分野が持つ、特有の構造的脆弱性を露呈させた。LRTは複数の運用先を重ね合わせることで高い収益性を実現しているが、それは同時に「どこか一箇所が壊れればすべてが崩れる」という、複雑な依存関係の上に成り立っている。
20以上のチェーンに跨る「裏付け」の消失
rsETHは、Base、Arbitrum、Linea、Blast、Mantle、Scrollといった20以上のネットワークに展開されている。これらのネットワーク上のrsETHは、イーサリアムメインネットにあるブリッジのリザーブ（保管庫）に支えられていた。今回、そのリザーブの約18％が空になったことで、各レイヤー2ネットワークでrsETHを保有しているユーザーは「自分のトークンの裏付けが本当に存在するのか」という不安に直面している。
このような状況では、ユーザーが一斉にイーサリアムメインネットへ資産を戻そうとする「取り付け騒ぎ」が発生しやすい。もしレイヤー2での換金圧力が強まれば、Kelp DAOは引き出しに応じるために、EigenLayerに預けている本来のETHの運用を強制的に解除（アンワインド）しなければならなくなる可能性がある。
ペッグ外れと引き出し停止の懸念
現在、最も注目されているのはrsETHがETHとの価格連動を維持できるかどうかだ。盗まれた資金の一部でも回収できれば信頼は回復するが、もし回収が困難で裏付け資産の欠損が確定すれば、rsETHは本来の価値よりも安く取引される「ディペグ」状態に陥る。これは、Terra（テラ）ショックのような大規模な資産価値の崩壊を招きかねないシナリオだ。
2026年に急増するDeFiハックとその教訓
2026年は、DeFiプロトコルにとって非常に厳しい一年となっている。Kelp DAOの事件は氷山の一角に過ぎず、数多くのプロトコルが同様の被害に遭っている。市場が活況を呈する一方で、ハッカーの手法もより高度化・組織化しているのが現状だ。
北朝鮮系ハッカーの関与とセキュリティの限界
4月1日に発生したDriftのハック事件では、後に北朝鮮に関連するサイバー攻撃グループの関与が指摘されている。今回のKelp DAOの事件でも、盗まれた資金がミキシングサービスのTornado Cash（トルネード・キャッシュ）などを通じて洗浄される前に、当局やセキュリティチームが追跡できるかどうかが鍵を握っている。
また、CoW SwapやZerion、Rhea Financeといった中堅プロトコルも、ここ数週間のうちに相次いで攻撃を受けている。これらの事件に共通しているのは、個別のスマートコントラクトのバグだけでなく、今回のような「クロスチェーン間の通信」や「外部オラクル」といった、プロトコルの外側にあるインフラの脆弱性が狙われている点だ。
この記事のポイント
- Kelp DAOから約2億9,200万ドル相当のrsETHが流出し、2026年最大のDeFiハックとなった。
- LayerZeroのメッセージングレイヤーを欺く手法が使われ、ブリッジに保管されていた裏付け資産が奪われた。
- AaveやLidoなどの主要プロトコルがrsETH市場を凍結し、DeFi全体への連鎖的な影響を防ぐ緊急措置を講じている。
- リキッドリステーキング（LRT）が複数のチェーンに展開される際の、ブリッジ依存による構造的リスクが浮き彫りになった。
- ハッカーによる資金洗浄が進む前に資産を回収できるかが、rsETHの価格維持とプロトコルの存続を左右する。
暗号資産とブロックチェーンの可能性を追求するエミリー。
暗号資産投資、DeFi、NFT、WEB3、メタバースといった最先端分野を深く理解し、「エミリーズ・クリプト・インサイダー」を運営。
分かりやすい解説で、ブロックチェーン革命の潮流を一般に広めることを目指す。初心者から上級者まで、最新情報を求めるすべての人に役立つ情報発信を心がけている。