先ほど、過去数年で最も激しいDeFiの一つの話を理解したばかりだ。4月18日、正確に46分間 - それだけの時間で2億9300万ドルがエコシステムから流出した。これはケルプブリッジのハッキングについての話で、これは単なるエクスプロイトではなく、システム的な危機であり、分散型金融の全アーキテクチャがいかに脆弱であるかを示した。

以下が起こったことだ。攻撃者はLayerZero上で動作するケルプDAOのクロスチェーンブリッジの脆弱性を利用した。しかし、問題はコードのバグではなかった。設定ミスだったのだ。ケルプはいわゆるDVN 1 of 1の設定を使用しており、つまり検証者ノードは1つだけで、チェーン間のすべてのメッセージを検証していた。たった一つのノードだ。想像できるか？攻撃者はそれをハッキングするか、騙して偽のメッセージを送信し、ブリッジは116,500 rsETH (約2億9300万ドル)を何の担保もなく、空気から作り出したものを発行した。

次に最も面白い部分が始まる。トークンを市場に放出する代わりに、ハッカーは狙いを絞った行動を取った。彼はこの偽のrsETHをAaveに担保として預け、実際のWETHを借り、その後Aave V4でも同じことを繰り返した。ケルプが契約を凍結できた時点で(46分経過)、実際の資産はすでに消えていた。攻撃を2回以上繰り返そうとしたが、システムがすでに凍結されていたため失敗した。

その後に起こったのはカスケード崩壊だ。Aaveは1億9600万ドルの絶望的な負債を抱えたまま残された。なぜならrsETHは価値を失ったからだ。WETHプールは100％の利用率に達し、人々は資金を引き出せなくなった。AaveのTVLは260億ドルから220億ドルに減少し、1日で66億ドルの損失となった。AAVEトークンは20％下落したが、現在は98.91ドルに回復し、過去24時間で3.31％の上昇を見せている。

パニックは54億ドルの資金引き出しによって引き起こされた。人々はただ恐怖を感じ、大量にプロトコルから離れ始めた。これは典型的な銀行のパニックだが、DeFiでは数時間で起こるものであり、数日ではない。

このインシデントは少なくとも9つの他のプラットフォームに拡散した - SparkLend、Fluid、Lido (その製品EarnETH)、Compound、Euler、そしていくつかの他のプロトコルだ。すべてがrsETHの市場を凍結したか、予防措置として操作を停止した。rsETHに全くエクスポージャーのなかったEthenaさえも、恐怖からLayerZeroのブリッジをただ停止した。

この話で私が驚くのは、技術的な側面ではない。ケルプのコードは正常だった。これは設定の選択だったのだ。Curveのミハイル・エゴロフは良い要約をしている：物事は、あなたが一つの信頼できる側にだけ信頼を置くときに起こり得る。そして、それはLayerZeroのルールを破るものではなかった - プロトコルは単にそのような設定を許可したのだ。

資金に関しては、ほぼ回収は不可能だ。ハッカーはすぐにTornado Cashを通じてすべてを洗浄し、資金を複数のウォレットに分散させた。ZachXBTは攻撃者に関連する6つのウォレットを特定し、それらはすべてハッキングの数時間前にミキサーを通じて事前に資金提供されていた。Justin Sanは「ハッカーと話す」ことを提案したが、これはむしろ演劇のようなものだ。

2026年はDeFiにとってまさに地獄の年だった。ケルプ以前にもいくつかの大きなハッキングがあった - Resolv Labsは3月に約8000万ドルを失い、Drift Protocolは4月1日に2億8500万ドルを失った(後に北朝鮮の関係者と関連)、その後CoW Swap、Zerion、Rhea Finance、そして他の少なくとも10のプロトコルも被害に遭った。2026年の総損失はすでに4億5000万ドルを超え、約45のプロトコルにわたる。

投資家にとってこれはいくつかの意味を持つ。第一に、流動性リスクは「安全な」プラットフォームでも現実的だ。TVLが下落し、プールが100％利用されているとき、ハッキングされた資産にアクセスできなかった人も資金を引き出せずに詰まる可能性がある。第二に、DeFiの複合性は両刃の剣だ。システムを強力にする一方で、最も速い感染経路にもなる。あるプロトコルの脆弱性は、数分でシステム全体のイベントに変わる。

第三に、クロスチェーンの資産サポートは保証されていない。rsETHは20以上のネットワークに残っているが、ケルプが検証済みのリザーブ照合を公開しない限り、不確定な状態のままだ。wrsETHを担保として受け入れた者は、リスクにさらされ続ける。

業界は、ブリッジ用の複数DVNの必須要件や、信用プロトコルのより厳格な基準、LayerZero統合の包括的な監査を導入するだろう。しかし、ここでの教訓はもっと深い - これは技術の問題ではなく、DeFiにおける信頼の哲学の問題だ。暗黙の前提は、流動性トークンの補充は基本的なETHと同じくらい安全だというものだった。だが、その前提は崩れた。

今、多くの人がDeFiに対する見方を見直している。Ledgerのセキュリティ責任者は、2026年はおそらくハッキングの最悪の年になるだろうと述べており、DeFiへの信頼は着実に崩壊しつつある。これは正当な指摘だ。ある設定の選択一つで2億9300万ドルが流出し、数十億ドルのパニックを引き起こすことができるなら、この空間における「安全性」とは何かを再考させられる。