#KelpDAOBridgeHacked ケルプDAOブリッジハッキング：$292 百万ドルの脆弱性がDeFiの核心を揺るがす

クロスチェーンセキュリティの壊滅的な失敗により、2026年最大のDeFiハッキング事件が発生し、ケルプDAOとLayerZeroの間で激しい責任追及の応酬が繰り広げられ、Aaveなどの主要なレンディングプロトコルの崩壊の危機を招いている。

今年最も壊滅的な分散型金融(DeFi)の脆弱性として急速に注目を集める中、ケルプDAOは週末に$292 百万ドルの損失を被った。攻撃は、プロトコルのLayerZeroを利用したクロスチェーンブリッジを標的とし、116,500 rsETHトークンの盗難を引き起こした。

この事件は4月18日に発生し、ケルプの流動性の大部分を枯渇させただけでなく、エコシステム全体に連鎖的な危機を引き起こし、レンディング大手のAaveも巻き込み、最終的なセキュリティ責任を巡る激しい争いを招いている。

攻撃の経路：ハッカーはどのようにセキュリティを突破したのか

攻撃者は、約10時間前にTornado Cashを通じてウォレットに資金を送金しており、これは高度なハッキンググループがよく用いる偽装技術の一つだ。ブロックチェーン調査員のZachXBTを含む初期調査は、北朝鮮のラザルスグループが関与している可能性を示唆している。

攻撃の仕組みは非常に技術的だった。報告によると、ハッカーはLayerZero Labsの分散型検証ネットワーク(DVN)が使用するRPCノードのリストを侵害した。二つのノードを毒殺し、残りにDDoS攻撃を仕掛けることで、ネットワークに偽のクロスチェーンメッセージを受け入れさせた。

この偽のメッセージは、ケルプDAOのブリッジコントラクトを騙し、Ethereumメインネット上で本来ロックされているべき116,500 rsETHを「リリース」させた。

責任追及：ケルプDAO対LayerZero

事件後、公開の場でケルプDAOとLayerZeroの間で脆弱性の根本原因について争いが勃発している。

· LayerZeroの立場：このメッセージングプロトコルは、ケルプDAOが「1-of-1 DVN」(分散検証ネットワーク)構成を使用したことを非難している。彼らはこの設定が致命的な単一障害点を生み出し、悪意のある取引を検知する独立した二次検証者がいなかったと主張している。LayerZeroは、多様化に関するベストプラクティスを伝えたと述べているが、ケルプはそれを採用しなかったと述べている。
· ケルプDAOの弁明：これに対し、ケルプDAOはこれらの主張を否定し、1-of-1 DVNモデルはLayerZeroの公式ドキュメントに記載された新しいOFT(オムニチェーンファンジブルトークン)展開のデフォルト設定だったと反論している。ケルプは2024年1月以降このインフラ上で運用しており、以前にLayerZeroの担当者から適切であると確認されていたと主張している。

感染拡大：Aaveが直面する$230M 穴

ハッキングによる最も深刻な影響は、主要なDeFiレンディングプロトコルであるAaveに及んでいる。

盗まれたrsETHを売却する代わりに、攻撃者は89,567のトークンをAaveに担保として預け、約$190 百万ドルのWETHとwstETHを借り入れた。このため、Aaveは根本的に価値が損なわれた担保を保有することになった。

Aave Labsの報告によると、Aaveの潜在的損失額は、ケルプDAOが不足分をどのように配分するかによって大きく異なる。

1. 共有損失 ($124 百万ドル)：損失がすべてのrsETH保有者に分散される場合、(15％のペッグ解除イベント)。
2. レイヤー2の孤立 ($230 百万ドル)：損失がレイヤー2ネットワークに限定され、Aaveのメインネットの保有資産の一部が担保不足となる場合。

これを受けて、AaveはV3とV4のrsETH市場を凍結し、借入を防ぐためにLoan-to-Value比率をゼロに設定した。Aaveのトークン(AAVE)はこのニュースを受けて10％下落し、総預かり資産$10 TVL(は10億ドル以上が流出し、ユーザーは資金引き出しに殺到した。

緊急措置：アービトラムが)百万ドルを凍結

迅速なガバナンス介入の一例として、Arbitrumセキュリティ評議会は、Arbitrum Oneネットワーク上の攻撃に関連するETH30,766を凍結した。

資金は中間の凍結ウォレットに移動されている。Arbitrumは、これらの資産は正式なガバナンス決定を待つ間、動かせない状態に置かれると述べている。資金凍結には、犯人の特定に関して法執行機関の意見も反映された。

今後の展望は？

現時点では状況は流動的だが、非常に深刻だ。ケルプDAOはメインネットおよび複数のLayer-2ネットワーク上のrsETHコントラクトを停止している。解決に向けた最大の課題は、ケルプDAOの資金庫の規模が$71 百万ドルの損失を単独でカバーできるかどうかだ。

業界関係者は、LayerZeroがOFTエコシステムの評判を守るために介入を余儀なくされるか、AaveがDAOの資金庫から$292 (百万ドル$181 を取り出して不良債権を補填する必要が出てくると見ている。ただし、両者とも現時点では直接的な責任を否定している。