DeFi（分散型金融）の世界で、またしても巨額の資産流出事件が発生した。今回の標的となったのは、リキッド・リステーキング・トークン（LRT）の提供で知られるKelp DAOだ。異なるブロックチェーン間で資産を移動させる「ブリッジ」機能の脆弱性を突かれ、日本円にして数百億円規模の資産が失われる事態となっている。
この事件は単なる一つのプロジェクトの被害に留まらず、連携している他の主要なDeFiプロトコルにも大きな波紋を広げている。特に資産の貸し借りを行うAave（アーベ）では、連鎖的な損失を防ぐための緊急措置が取られた。今回の攻撃は、クロスチェーン技術の利便性の裏側に潜むリスクを改めて浮き彫りにしている。
本記事では、Kelp DAOで何が起きたのか、攻撃の手口や被害の規模、そして市場に与える影響について、専門的な視点からわかりやすく解説していく。リステーキング市場が急速に拡大する中で、投資家が知っておくべき教訓とは何かを深掘りする。
Kelp DAOで約2.92億ドルの巨額流出が発生
2026年4月18日の土曜日、Kelp DAOが運用するクロスチェーンブリッジから、大量の暗号資産が不正に引き出される事件が発生した。オンチェーンデータの解析によれば、流出した資産は約116,500 rsETHにのぼる。これは当時の市場価格に換算すると、約2億9,200万ドル（約440億円相当）という巨額なものだ。
rsETHとは、イーサリアムをステーキングし、さらにそれを再ステーキング（リステーキング）することで得られる受領証のようなトークンだ。Kelp DAOはこの分野で主要なプレイヤーの一つであり、多くのユーザーが資産を預けていた。今回の流出は、その信頼の根幹を揺るがす出来事と言える。
rsETHの価格は約2,500ドル付近で推移していたが、攻撃の発覚とともに市場には緊張が走った。流出した116,500枚という数量は、rsETHの全循環供給量の約18％に相当する。これほど大規模な割合のトークンが一気にハッカーの手に渡ったことは、エコシステム全体にとって極めて深刻な事態だ。
攻撃のタイムラインと緊急停止
攻撃が実行されたのは、世界標準時の17時35分頃だった。ハッカーが管理するウォレットが、LayerZeroのEndpointV2契約にある特定の関数を呼び出したことが発端だ。これにより、Kelpのブリッジ契約が誤作動し、攻撃者のアドレスに対して116,500 rsETHが放出されてしまった。
Kelp DAO側がこの異常事態を察知し、対応を開始したのは約46分後の18時21分だった。プロトコルの緊急停止権限を持つマルチシグ（複数の署名が必要な管理財布）が、すべての主要な契約を一時停止する操作を実行した。この迅速な判断により、rsETHの入金プールや出金、価格オラクルなどの機能が凍結された。
実は、この停止措置の直後にも、ハッカーはさらに2回の攻撃を試みていた。18時26分と18時28分に実行されたこれらの試行では、追加で合計40,000 rsETH（約1億ドル相当）を盗み出そうとしていた。しかし、プロトコルがすでに停止されていたため、これらの取引は失敗に終わっている。もし対応が数分遅れていれば、被害額は約3億9,100万ドルまで膨れ上がっていた計算になる。
攻撃資金の出所と不透明な行方
ブロックチェーン分析の専門家であるZachXBT氏の指摘によれば、攻撃者のウォレットには攻撃の約10時間前に資金が送られていた。その資金源は、匿名化技術を用いたミキシングサービスであるTornado Cash（トルネード・キャッシュ）の1 ETHプールだった。これは、ハッカーが自らの正体を隠すために頻繁に用いる手法だ。
盗み出された資産は現在もハッカーのアドレスに保持されているか、あるいはさらなる洗浄プロセスに回されている可能性が高い。Kelp DAOは現在、LayerZeroやUnichain、そして外部のセキュリティ監査チームと協力して、根本的な原因究明（RCA）を急いでいる。
LayerZeroのOFTブリッジが標的に
今回の攻撃で焦点となっているのは、Kelp DAOが採用していたLayerZero（レイヤーゼロ）のOFT（Omnichain Fungible Token）ブリッジという技術だ。これは、異なるブロックチェーン間をまたいでトークンを自由に移動させるための仕組みである。
通常、イーサリアム上のトークンをArbitrumやBaseといった他のネットワークに送るには、複雑な手続きが必要になる。OFTはこのプロセスを簡略化し、ユーザーがまるで一つのチェーン上で操作しているかのように、複数のネットワーク間でrsETHを扱えるようにするものだ。しかし、この「便利さ」を実現するための複雑なコードが、攻撃者の隙を突く結果となった。
OFTは、例えるなら「異なる国同士を繋ぐ特別な高速道路」のようなものだ。パスポートチェックなしで自由に行き来できるのは便利だが、一度その関門に不備が見つかれば、大量の物資が不正に持ち出されるリスクを孕んでいる。今回の事件では、まさにその関門の認証プロセスに何らかの不具合があったと考えられている。
クロスチェーン技術の死角
ブリッジは、DeFiの中で最も攻撃を受けやすい箇所の一つとして知られている。なぜなら、ブリッジには移動中の膨大な資産が一時的にロック（保管）されているからだ。ハッカーにとって、ブリッジのスマートコントラクトを攻略することは、巨大な金庫の鍵を破ることに等しい。
LayerZeroの技術自体は多くのプロジェクトで採用されており、高い信頼性を誇っていた。しかし、個別のプロジェクトがその技術をどのように実装し、設定するかが重要になる。Kelp DAOの場合、rsETHを20以上のネットワーク（Base, Arbitrum, Linea, Blast, Mantle, Scrollなど）に展開していたため、攻撃の表面積が非常に広くなっていた可能性が高い。
スマートコントラクトの複雑性とリスク
リキッド・リステーキングという仕組み自体、イーサリアムのステーキング層の上に、さらに別のプロトコルを重ねるという「多重構造」になっている。ここにクロスチェーンのブリッジが加わることで、コードの複雑さは指数関数的に増大する。専門家は、こうした複雑な階層構造が、予期せぬ脆弱性を生む温床になっていると指摘している。
つまり、ユーザーが預けた資産は、イーサリアムのバリデータ、EigenLayer、Kelp DAO、そしてLayerZeroという複数の層を通過していることになる。この中のどこか一箇所でもセキュリティが破られれば、資産全体が危険にさらされるという「単一障害点」のリスクが、今回の事件で露呈した形だ。
Aaveへの波及と市場の反応
今回の流出事件の影響は、Kelp DAOの中だけに留まらなかった。特に、レンディング（貸し借り）プラットフォームの最大手であるAaveへの影響が深刻視されている。rsETHはAaveのV3およびV4において、借入の際の担保資産として利用されていたからだ。
大量のrsETHが盗まれたことで、市場でのrsETHの流動性が枯渇し、価格が大幅に乖離（デペグ）する懸念が生じた。もしrsETHの価値が暴落すれば、それを担保にお金を借りていたユーザーのポジションが清算できなくなり、Aave側に「不良債権」が発生する可能性がある。このリスクを重く見たAaveチームは、即座にrsETHに関連するすべての市場を凍結した。
Aaveのガバナンスチームは、事件発生後にX（旧Twitter）上で声明を発表した。攻撃はAave自体のスマートコントラクトに問題があったわけではなく、あくまでrsETH側の問題であることを強調している。しかし、プラットフォームとしての安全性を守るため、慎重な対応を迫られている状況だ。
不良債権化のリスクと補填策
Aaveには、万が一の不良債権に備えて「Umbrella（アンブレラ）」と呼ばれる安全モジュールが用意されている。これは、プロトコルが損失を被った際に、蓄積された資産を使ってその穴埋めをする仕組みだ。当初、Aave側はこの資産を使って今回の赤字を相殺する可能性を示唆していた。
しかし、その後の声明では表現がやや慎重になり、「赤字を相殺するためのあらゆる道を模索する」という表現に改められた。これは、損失の規模が確定していないことや、補填を行うためのガバナンス投票が必要になることを考慮した結果と見られる。投資家の間では、AaveのガバナンストークンであるAAVEの価格が一時約10％下落するなど、不安が広がった。
リステーキング市場全体への冷や水
今回の事件は、活況を呈していたLRT（リキッド・リステーキング・トークン）市場全体に冷や水を浴びせることとなった。rsETHだけでなく、他のLRTプロジェクトでも同様の脆弱性がないか、多くのユーザーが疑心暗鬼になっている。資産の効率性を追求するあまり、セキュリティという最も重要な土台が疎かになっていなかったかという反省の声が上がっている。
市場では、rsETHを売却してより安全な資産へ避難しようとする動きも見られた。しかし、Kelp DAOが契約を停止しているため、公式サイトを通じた正規の出金はできない状態が続いている。分散型取引所（DEX）での交換も、流動性の低下により不利なレートを強いられる状況であり、ユーザーは難しい判断を迫られている。
繰り返されるセキュリティの課題と今後の展望
実は、Kelp DAOがセキュリティ上の問題でプロトコルを停止させるのは、今回が初めてではない。約1年前の2025年4月にも、手数料計算のコードに含まれていたバグが原因で、rsETHが過剰に発行されるというトラブルが発生していた。
前回のインシデントでは、幸いにもユーザーの資産が失われることはなかった。しかし、短期間に二度も重大なセキュリティ問題が発生したことは、プロジェクトの管理体制に対する厳しい批判を免れないだろう。一度失った信頼を取り戻すのは容易ではなく、今後の運営には透明性の高い説明と、徹底的な再発防止策が求められる。
今回の事件は、DeFiの「コンポーザビリティ（構成可能性）」という強みが、同時に「リスクの連鎖」という弱点でもあることを証明した。複数のプロトコルをパズルのように組み合わせて新しい金融サービスを作るDeFiの性質上、一つのピースが壊れれば、それを利用しているすべてのサービスに影響が及ぶ。これを防ぐための新しい業界標準や、より堅牢な監査体制の構築が急務だ。
独自分析、ブリッジ・セキュリティの限界とリステーキングの危うさ
ここで独自の分析を加えたい。今回の事件の本質は、リステーキングという「レバレッジ的な信頼の積み重ね」が、ブリッジという「物理的な移動手段」の脆弱性によって崩壊した点にある。リステーキングはイーサリアムのセキュリティを借りることで高い収益性を実現しているが、その資産を別のチェーンに移動させた瞬間、セキュリティの強度はイーサリアムではなく、その「ブリッジ」の強度に依存することになる。
多くのユーザーは、rsETHを持っていることでイーサリアムと同等の安全性を得ていると誤解しがちだ。しかし、クロスチェーンで運用されている以上、その安全性は「最も弱いリンク」によって決まってしまう。今回のケースでは、LayerZeroの実装部分がその弱点となった。
今後、DeFi市場がさらに成熟するためには、利便性や収益性よりも「隔離」と「冗長性」を重視した設計が必要になるだろう。例えば、一つのブリッジが破られても全資産が流出しないような制限機能や、異常を検知して自動的に遮断するサーキットブレーカーの標準化などが考えられる。投資家もまた、高利回りの裏にあるこうした構造的リスクを正しく理解し、資産を分散させるなどの自己防衛策が不可欠だ。
この記事のポイント
- Kelp DAOから約2.92億ドル相当のrsETHが流出し、プロトコルは緊急停止された
- 攻撃はLayerZeroのOFTブリッジ機能を標的にしており、循環供給量の約18％が被害を受けた
- AaveがrsETH市場を凍結し、レンディング市場への連鎖的な損失を防ぐ措置を講じている
- Kelp DAOにとって過去1年で2度目のセキュリティ事件であり、管理体制への信頼が問われている
- リステーキングとクロスチェーンの組み合わせが持つ構造的なリスクが浮き彫りとなった
暗号資産とブロックチェーンの可能性を追求するエミリー。
暗号資産投資、DeFi、NFT、WEB3、メタバースといった最先端分野を深く理解し、「エミリーズ・クリプト・インサイダー」を運営。
分かりやすい解説で、ブロックチェーン革命の潮流を一般に広めることを目指す。初心者から上級者まで、最新情報を求めるすべての人に役立つ情報発信を心がけている。