#KelpDAOBridgeHacked
2026年4月18日、ケルプDAOは今年最大の暗号通貨の脆弱性攻撃の被害者となり、ハッカーによって約2億9200万ドルから2億9400万ドルがクロスチェーンブリッジインフラから流出しました。攻撃は、rsETH (再ステークされたEther)トークンの複数のブロックチェーンネットワーク間の転送を可能にする、プロトコルのLayerZeroを搭載したブリッジを標的としました。この事件は、分散型金融エコシステムにおける重大な侵害を示し、暗号コミュニティに衝撃を与えました。
ケルプDAOとは何か
ケルプDAOは、流動性のあるリステーキングプロトコルとして運営されており、ユーザーはstETHやcbETHなどの人気のステーキングトークンを預けることで、rsETHトークンを受け取ることができます。これらのrsETHトークンは「再ステークされた」Etherを表し、ユーザーはアイドル状態の暗号資産投資に対して利回りを得ながら流動性を維持できます。プロトコルのブリッジインフラはLayerZero技術を用いて構築されており、Base、Arbitrum、Linea、Blast、Mantle、Scrollなど20以上の異なるブロックチェーンネットワーク間でこれらのトークンの移動を促進します。
攻撃の仕組み
この脆弱性は、高度な操作によるクロスチェーンメッセージングシステムの操作を通じて発生しました。攻撃者は、偽のクロスネットワークメッセージを送信し、有効な指示のように見せかけて、システムに116,500 rsETHトークンを攻撃者のアドレスに送信させることに成功しました。この量は、攻撃時点でのrsETHの流通総量の約18％に相当しました。
Cyversのセキュリティ専門家は、攻撃者が状態検証とメッセージ伝達の脆弱性を悪用してセキュリティ対策を回避し、担保を抽出したと説明しています。この手法により、裏付けのないrsETHトークンが作成され、それを用いてETHなどの実資産を借り入れることが可能になりました。この仕組みは、クロスチェーンブリッジの脆弱性が急速に拡大し、一つのプロトコルの侵害だけでなく、複数のプラットフォームに影響を及ぼすクロスプロトコルの感染事象を引き起こす可能性を示しています。
即時対応と被害の抑制
rsETHに関わる疑わしいクロスチェーン活動を検知した直後、ケルプDAOはEthereumメインネットおよびいくつかのレイヤー2ネットワーク上のすべてのrsETHコントラクトを即座に停止しました。プロトコルはLayerZero、Unichain、監査人、セキュリティ専門家と連携し、根本原因の分析を行いました。この緊急対応により、さらなる被害の拡大を防ぎましたが、既に盗まれた資産を取り戻すことはできませんでした。
この攻撃により、複数のDeFiプラットフォームで緊急の凍結措置が取られました。最大のDeFiレンディングプロトコルであるAaveは、EthereumとArbitrumの両方でrsETH市場を凍結し、追加の不良債権の発生を防ぎました。業界の推定によると、Aaveはこの事件により$123 百万ドルから$230 百万ドルの損失を被る可能性があるとされています。Lidoは、レバレッジポジションを通じて約2160万ドルのエクスポージャーを報告し、損失バッファとして$3 百万ドルを利用する可能性を示唆しています。
責任の所在と調査
複数の情報源は、この攻撃を北朝鮮のハッカー、特にラザルスグループ（TraderTraitorとも呼ばれる）に帰しています。LayerZeroは、4月18日に攻撃者がDVN (分散型バリデータネットワーク)を標的にし、下流のRPCインフラを汚染したと特定しました。攻撃者は、DVNが使用しているRPCリストにアクセスし、2つの独立したノードを別々のクラスター上で侵害し、op-gethノードのバイナリを差し替えました。
この帰属は、北朝鮮が暗号通貨プラットフォームを標的とする既存のパターンと一致しています。利用可能なデータによると、北朝鮮のハッカーは2025年に10億ドル以上の暗号資産を盗み出し、2017年以降の総獲得額は約20億ドルに達しています。セキュリティ専門家は、この攻撃が北朝鮮の忍耐強い侵入、信頼の操作、検知抑制の典型的な手法を示していると指摘しています。
責任追及とLayerZeroとの対立
事件後、ケルプDAOとLayerZeroの間で責任の所在について争いが生じました。ケルプDAOは、LayerZeroのデフォルト設定がこの大規模な災害の原因だと主張し、インフラ提供者の設定の選択が脆弱性を生んだと示唆しました。これに対しLayerZeroは、ケルプDAOの特定の設定に問題があったと反論し、以前にDVNの多様化に関するベストプラクティスを伝達していたことを強調しました。
この意見の相違は、分散型金融における責任の所在の複雑さを浮き彫りにしています。複数の関係者が連携してセキュリティインフラを構築しているため、失敗の責任を明確にすることは難しく、対応や回復の遅れを招く可能性があります。
DeFiへのより広い影響
ケルプDAOのハッキングにより、2026年4月のDeFiの総被害額は$2 百万ドルを超え、暗号通貨史上最も被害の大きい月の一つとなりました。この事件は、2026年4月1日に発生したドリフトプロトコルの脆弱性による損失約$6 百万ドルに続くもので、こちらも北朝鮮のハッカーによるものとされています。
この攻撃は、従来最も脆弱とされてきたDeFiインフラの一部であるクロスチェーンブリッジのセキュリティに関する議論を再燃させました。多くの監査とセキュリティ対策にもかかわらず、ブリッジは複雑さと大量の価値を保護していることから、巧妙な攻撃者にとって魅力的なターゲットであり続けています。
また、この事件は、現代のDeFiプロトコルの相互接続性の脆弱性も明らかにしました。ケルプDAOのブリッジへの攻撃が、流動性危機や不良債権の拡大へと連鎖し、一つの脆弱性がエコシステム全体のシステムリスクを引き起こすことを示しています。
コミュニティの反応と市場への影響
暗号コミュニティは、このハッキングに対して懸念と自己反省の声を上げています。ソーシャルメディア上では「DeFiは死んだ」というフレーズが流れ、ユーザーは再び大規模な脆弱性の影響に直面しています。2026年4月17日にEthereumの価格は2,300ドルに下落し、市場予測は引き続き変動性を織り込んでいます。
この脆弱性は、セキュリティ強化策、ブリッジ設計の改善、DeFiプロトコルの透明性向上を求める声を高めています。業界関係者は、クロスチェーンの相互運用性に対する現在のアプローチは根本的な見直しが必要であり、主流採用に必要なセキュリティ基準を達成するために再考すべきだと認識しています。
教訓と今後の展望
ケルプDAOのブリッジハックは、クロスチェーンDeFiプロトコルに内在するリスクを痛烈に思い知らされる出来事です。この事件からいくつかの重要な教訓が導き出されます。
第一に、クロスチェーンブリッジの複雑さは、高度な攻撃者が悪用できる複数の攻撃ベクトルを生み出します。監査やセキュリティレビューにもかかわらず、異なるブロックチェーンネットワークやメッセージングプロトコルの相互作用は、標準的なセキュリティ評価では見落とされがちな脆弱性をもたらします。
第二に、DeFiプロトコルの相互接続性は、攻撃が迅速に複数のプラットフォームに波及し、被害を拡大させる可能性を示しています。このシステムリスクには、調整された対応メカニズムとプロトコル間の隔離の改善が必要です。
第三に、国家支援のハッカーによる帰属は、暗号通貨のセキュリティにおける脅威の進化を示しています。資源と忍耐力を持つ国家主体の攻撃者は、個人のハッカーや犯罪グループとは異なる根本的な課題をもたらします。
第四に、ケルプDAOとLayerZeroの間の責任追及の争いは、DeFiインフラにおける責任の枠組みの明確化の必要性を浮き彫りにしています。複数の関係者がプロトコルのセキュリティに関与している場合、失敗の責任を明確にすることは複雑であり、対応や回復の遅れを招く可能性があります。
結論
ケルプDAOのブリッジハックは、2026年のDeFi業界にとって重要な転換点となりました。約$600 百万ドルが盗まれ、複数のプロトコルに波及効果をもたらしたこの事件は、クロスチェーンインフラの重大な脆弱性を露呈し、国家支援の脅威者の高度な能力を浮き彫りにしました。業界がその後処理に取り組む中、この攻撃は、セキュリティが分散型金融システムの開発において最優先されるべきことを強く思い知らせるものです。今後の道筋は、技術的な改善だけでなく、リスク管理、責任追及、クロスプロトコルの調整において根本的な変革を必要とするでしょう。
2026年4月18日、ケルプDAOは今年最大の暗号通貨の脆弱性攻撃の被害者となり、ハッカーによって約2億9200万ドルから2億9400万ドルがクロスチェーンブリッジインフラから流出しました。攻撃は、rsETH (再ステークされたEther)トークンの複数のブロックチェーンネットワーク間の転送を可能にする、プロトコルのLayerZeroを搭載したブリッジを標的としました。この事件は、分散型金融エコシステムにおける重大な侵害を示し、暗号コミュニティに衝撃を与えました。
ケルプDAOとは何か
ケルプDAOは、流動性のあるリステーキングプロトコルとして運営されており、ユーザーはstETHやcbETHなどの人気のステーキングトークンを預けることで、rsETHトークンを受け取ることができます。これらのrsETHトークンは「再ステークされた」Etherを表し、ユーザーはアイドル状態の暗号資産投資に対して利回りを得ながら流動性を維持できます。プロトコルのブリッジインフラはLayerZero技術を用いて構築されており、Base、Arbitrum、Linea、Blast、Mantle、Scrollなど20以上の異なるブロックチェーンネットワーク間でこれらのトークンの移動を促進します。
攻撃の仕組み
この脆弱性は、高度な操作によるクロスチェーンメッセージングシステムの操作を通じて発生しました。攻撃者は、偽のクロスネットワークメッセージを送信し、有効な指示のように見せかけて、システムに116,500 rsETHトークンを攻撃者のアドレスに送信させることに成功しました。この量は、攻撃時点でのrsETHの流通総量の約18％に相当しました。
Cyversのセキュリティ専門家は、攻撃者が状態検証とメッセージ伝達の脆弱性を悪用してセキュリティ対策を回避し、担保を抽出したと説明しています。この手法により、裏付けのないrsETHトークンが作成され、それを用いてETHなどの実資産を借り入れることが可能になりました。この仕組みは、クロスチェーンブリッジの脆弱性が急速に拡大し、一つのプロトコルの侵害だけでなく、複数のプラットフォームに影響を及ぼすクロスプロトコルの感染事象を引き起こす可能性を示しています。
即時対応と被害の抑制
rsETHに関わる疑わしいクロスチェーン活動を検知した直後、ケルプDAOはEthereumメインネットおよびいくつかのレイヤー2ネットワーク上のすべてのrsETHコントラクトを即座に停止しました。プロトコルはLayerZero、Unichain、監査人、セキュリティ専門家と連携し、根本原因の分析を行いました。この緊急対応により、さらなる被害の拡大を防ぎましたが、既に盗まれた資産を取り戻すことはできませんでした。
この攻撃により、複数のDeFiプラットフォームで緊急の凍結措置が取られました。最大のDeFiレンディングプロトコルであるAaveは、EthereumとArbitrumの両方でrsETH市場を凍結し、追加の不良債権の発生を防ぎました。業界の推定によると、Aaveはこの事件により$123 百万ドルから$230 百万ドルの損失を被る可能性があるとされています。Lidoは、レバレッジポジションを通じて約2160万ドルのエクスポージャーを報告し、損失バッファとして$3 百万ドルを利用する可能性を示唆しています。
責任の所在と調査
複数の情報源は、この攻撃を北朝鮮のハッカー、特にラザルスグループ（TraderTraitorとも呼ばれる）に帰しています。LayerZeroは、4月18日に攻撃者がDVN (分散型バリデータネットワーク)を標的にし、下流のRPCインフラを汚染したと特定しました。攻撃者は、DVNが使用しているRPCリストにアクセスし、2つの独立したノードを別々のクラスター上で侵害し、op-gethノードのバイナリを差し替えました。
この帰属は、北朝鮮が暗号通貨プラットフォームを標的とする既存のパターンと一致しています。利用可能なデータによると、北朝鮮のハッカーは2025年に10億ドル以上の暗号資産を盗み出し、2017年以降の総獲得額は約20億ドルに達しています。セキュリティ専門家は、この攻撃が北朝鮮の忍耐強い侵入、信頼の操作、検知抑制の典型的な手法を示していると指摘しています。
責任追及とLayerZeroとの対立
事件後、ケルプDAOとLayerZeroの間で責任の所在について争いが生じました。ケルプDAOは、LayerZeroのデフォルト設定がこの大規模な災害の原因だと主張し、インフラ提供者の設定の選択が脆弱性を生んだと示唆しました。これに対しLayerZeroは、ケルプDAOの特定の設定に問題があったと反論し、以前にDVNの多様化に関するベストプラクティスを伝達していたことを強調しました。
この意見の相違は、分散型金融における責任の所在の複雑さを浮き彫りにしています。複数の関係者が連携してセキュリティインフラを構築しているため、失敗の責任を明確にすることは難しく、対応や回復の遅れを招く可能性があります。
DeFiへのより広い影響
ケルプDAOのハッキングにより、2026年4月のDeFiの総被害額は$2 百万ドルを超え、暗号通貨史上最も被害の大きい月の一つとなりました。この事件は、2026年4月1日に発生したドリフトプロトコルの脆弱性による損失約$6 百万ドルに続くもので、こちらも北朝鮮のハッカーによるものとされています。
この攻撃は、従来最も脆弱とされてきたDeFiインフラの一部であるクロスチェーンブリッジのセキュリティに関する議論を再燃させました。多くの監査とセキュリティ対策にもかかわらず、ブリッジは複雑さと大量の価値を保護していることから、巧妙な攻撃者にとって魅力的なターゲットであり続けています。
また、この事件は、現代のDeFiプロトコルの相互接続性の脆弱性も明らかにしました。ケルプDAOのブリッジへの攻撃が、流動性危機や不良債権の拡大へと連鎖し、一つの脆弱性がエコシステム全体のシステムリスクを引き起こすことを示しています。
コミュニティの反応と市場への影響
暗号コミュニティは、このハッキングに対して懸念と自己反省の声を上げています。ソーシャルメディア上では「DeFiは死んだ」というフレーズが流れ、ユーザーは再び大規模な脆弱性の影響に直面しています。2026年4月17日にEthereumの価格は2,300ドルに下落し、市場予測は引き続き変動性を織り込んでいます。
この脆弱性は、セキュリティ強化策、ブリッジ設計の改善、DeFiプロトコルの透明性向上を求める声を高めています。業界関係者は、クロスチェーンの相互運用性に対する現在のアプローチは根本的な見直しが必要であり、主流採用に必要なセキュリティ基準を達成するために再考すべきだと認識しています。
教訓と今後の展望
ケルプDAOのブリッジハックは、クロスチェーンDeFiプロトコルに内在するリスクを痛烈に思い知らされる出来事です。この事件からいくつかの重要な教訓が導き出されます。
第一に、クロスチェーンブリッジの複雑さは、高度な攻撃者が悪用できる複数の攻撃ベクトルを生み出します。監査やセキュリティレビューにもかかわらず、異なるブロックチェーンネットワークやメッセージングプロトコルの相互作用は、標準的なセキュリティ評価では見落とされがちな脆弱性をもたらします。
第二に、DeFiプロトコルの相互接続性は、攻撃が迅速に複数のプラットフォームに波及し、被害を拡大させる可能性を示しています。このシステムリスクには、調整された対応メカニズムとプロトコル間の隔離の改善が必要です。
第三に、国家支援のハッカーによる帰属は、暗号通貨のセキュリティにおける脅威の進化を示しています。資源と忍耐力を持つ国家主体の攻撃者は、個人のハッカーや犯罪グループとは異なる根本的な課題をもたらします。
第四に、ケルプDAOとLayerZeroの間の責任追及の争いは、DeFiインフラにおける責任の枠組みの明確化の必要性を浮き彫りにしています。複数の関係者がプロトコルのセキュリティに関与している場合、失敗の責任を明確にすることは複雑であり、対応や回復の遅れを招く可能性があります。
結論
ケルプDAOのブリッジハックは、2026年のDeFi業界にとって重要な転換点となりました。約$600 百万ドルが盗まれ、複数のプロトコルに波及効果をもたらしたこの事件は、クロスチェーンインフラの重大な脆弱性を露呈し、国家支援の脅威者の高度な能力を浮き彫りにしました。業界がその後処理に取り組む中、この攻撃は、セキュリティが分散型金融システムの開発において最優先されるべきことを強く思い知らせるものです。今後の道筋は、技術的な改善だけでなく、リスク管理、責任追及、クロスプロトコルの調整において根本的な変革を必要とするでしょう。
