#rsETHAttackUpdate

分散型金融業界は長年にわたり多くのセキュリティインシデントに直面してきましたが、2026年4月18日のrsETHブリッジの脆弱性悪用は、最も深刻で教育的な攻撃の一つとして際立っています。これは単なるプロトコルのハッキングではなく、クロスチェーンファイナンス、リキッドリステーキング、イーサリアム全体の担保ベースの融資を支える信頼構造への直接的な攻撃でした。

KelpDAOは、イーサリアムエコシステムの中でも最も重要なリキッドリステーキングプロトコルの一つであり、そのLayerZeroを利用したブリッジインフラを攻撃者に悪用され、116,500の未担保rsETHトークンを発行される事件が起きたことで注目を集めました。総被害額は約2億9200万ドルに達し、その年最大のDeFi攻撃の一つとなり、ブリッジ関連の失敗の中でも最も危険な例の一つとなりました。

この事件の規模を理解するには、まずrsETH自体を理解することが重要です。KelpDAOは、ユーザーがETHを預けるとrsETHを受け取る仕組みを提供しており、これはステーキングされたイーサリアムを表すリキッドリステーキングトークンです。このトークンは、貸付やファーミング、レバレッジ戦略などのDeFiアプリケーションに価値を展開し続けることができるため、複数のプロトコルに高度に統合されています。

問題は、ブリッジの検証システムに起因します。強固な分散型セキュリティモデルの代わりに、危険な1対1の検証設定に依存していました。これは、唯一のバリデーターがクロスチェーン転送メッセージの正当性を確認する責任を持つ仕組みです。この信頼ポイントが侵害されると、攻撃者は偽の転送確認を作成できるようになりました。

秘密鍵の盗難は必要ありませんでした。スマートコントラクトのバグも必要ありませんでした。コントラクトは設計通りに動作しており、真の弱点は信頼モデルそのものでした。
偽のブリッジメッセージを偽造することで、攻撃者は実際のETH預託に裏付けられていないrsETHトークンを発行させることに成功しました。簡単に言えば、偽の担保が正当な価値としてDeFiシステムに入り込んだのです。

この攻撃の特に戦略的だった点は、次の動きでした。盗んだrsETHを即座に売却してトークン価格を暴落させるのではなく、新たに発行されたトークンを担保としてAaveなどの融資プロトコルや他の統合プラットフォームで利用しました。これにより、実際のETHや他の価値ある資産を借り入れつつ、市場のパニックを一時的に遅らせることができました。

この方法は、通常のトークンダンプよりもはるかに深刻な問題を引き起こしました。融資プラットフォームは、実在しない資産に裏付けられた負債を抱えることになり、担保の検証や清算システムが正常に機能していたとしても、担保自体が偽造されたものであったため、脆弱性にさらされ続けました。

Aaveをはじめとする複数の融資市場は、影響を受けたポジションを凍結し、リスクの高い操作を停止することで迅速に対応しました。緊急制御により被害の拡大を防ぎましたが、悪質な負債問題はすでにシステムに入り込んでいました。これにより、DeFiの最大の隠れたリスクの一つ、構成性（コンポーザビリティ）が浮き彫りになりました。

DeFiのプロトコルはドミノのように連結しています。一つのプロトコルの弱点が、すぐに別のプロトコルの危機に発展することがあります。rsETHの脆弱性は、ブリッジの失敗が孤立した問題ではなく、融資、レバレッジ、ステーキング、流動性システム全体に広がることを証明しました。

この事件はまた、市場全体のブリッジセキュリティ基準に対する深刻な懸念も引き起こしました。多くのプロトコルはスマートコントラクトの監査に重点を置きすぎており、バリデーターの前提、オラクルの依存性、メッセージ検証の構造を軽視しています。実際には、信頼の設定はコードの脆弱性よりも危険なことが多いのです。

ユーザーにとっての教訓は明白です：DeFiのリスクはトークン価格の変動だけではありません。インフラのリスク、ブリッジの露出、バリデーターの信頼前提、そしてプロトコル間の隠れた依存関係も含まれます。
ビルダーにとってのメッセージはさらに強いです。単一障害点を排除しなければなりません。マルチバリデーター検証、より強固なブリッジアーキテクチャ、遅い緊急対応システム、そしてより厳格な担保リスク管理は、もはやオプションではなく、生き残るために必要不可欠です。

rsETHの脆弱性悪用は痛ましいものですが、同時に警鐘でもあります。大きな攻撃はすべて、DeFiの成熟を促します。今回の事件は、ブリッジのセキュリティに対する業界のアプローチを永続的に変える瞬間となるかもしれません。
これは単なる2億9200万ドルの脆弱性ではありません。
DeFi全体への警告です。
そして、それから学ぶプロトコルは次のサイクルを生き延びるでしょう—無視するプロトコルは次の見出しになるかもしれません。