2億9200万ドルが消えた日、DeFiは終わったのか

Kelp DAOへの大規模ハッキングがDeFi全体に波及。Aaveで6200億円超の預金が流出し、クロスチェーン設計の根本的な脆弱性が露呈した。暗号資産投資家が今考えるべきこととは。

「ただAaveを使えばいい」——その言葉は、もう通用しないかもしれない。

2026年4月19日、分散型金融（DeFi）の世界に激震が走りました。Kelp DAOのリキッドリステーキングトークン「rsETH」が約2億9200万ドル（約430億円）規模のハッキング被害を受け、その余波はプロトコルの境界を越えて瞬く間に広がりました。被害を受けたのはKelp DAOだけではありません。DeFi全体が、一夜にして揺らいだのです。

何が起きたのか——「空から降ってきた」116,500rsETH

攻撃の手口は、暗号を破ったわけでも、スマートコントラクトのバグを突いたわけでもありませんでした。攻撃者が悪用したのは、設定ミスです。

LayerZeroのクロスチェーンメッセージング基盤において、異なるブロックチェーン間でメッセージを検証する「DVN（分散型検証ネットワーク）」が、たった1つのノードで構成された状態になっていました。攻撃者はこの脆弱な検証レイヤーを悪用し、「別のネットワークから正規の指示が届いた」とシステムに思い込ませることに成功。その結果、116,500rsETH（rsETH総供給量の約18%）が攻撃者の管理するアドレスに送られました。

開発者のcryptogoblinはX（旧Twitter）でこう説明しています。「コントラクトは壊れていなかった。壊れていたのは検証レイヤーだった」。

ローラーコースターのたとえを使ったのは、Fishy Catfishというユーザーです。「もし遊園地が安全基準を個別に決めていいとしたら、どうなるか想像してほしい」——つまり、柔軟性のある「モジュラーセキュリティ」設計が、最低限の安全基準なしに運用されると、見えないリスクを生み出すという指摘です。

連鎖反応——Aaveから6,200億円が逃げた

ハッキングの直接被害にとどまらず、恐怖が恐怖を呼ぶ「バンクラン」が発生しました。

rsETHを担保として受け入れていた大手レンディングプロトコルAaveでは、預金者がパニックに陥りました。ETHを直接引き出せないユーザーが、ステーブルコインを借りることで間接的に資産を逃がそうとする動きが広がり、市場参加者のJosu San Martinは「これはAaveへの本格的な取り付け騒ぎだ」と表現しました。

広告掲載について

[email protected]

数字が物語ります。Aaveの総預金額（TVL）は4月18日の264億ドルから、翌19日の米国時間午前中には約200億ドルへと急落。純資金流出は約62億ドル（約9,200億円）に達しました。Aaveのトークン価格も18%超下落しました。

Aave創業者のStani Kulechov氏は「Aave自体のコントラクトは侵害されていない」と強調しましたが、預金者の不安を止めることはできませんでした。Morpho、Sky、JupLendなど他のレンディングプロトコルでも資金流出が確認され、ソラナチェーン上の無関係なプロトコルにまで影響が波及しました。

各プロトコルは迅速に対応し、rsETH関連市場を凍結。Lidoも関連資産への入金を一時停止しました。

なぜ今、これが重要なのか

このインシデントは、孤立した事故ではありません。2026年4月は、DeFiにとって異例に過酷な月となっています。

4月1日には、ソラナ系の無期限先物プロトコルDriftが約2億8500万ドルの被害を受け、後に北朝鮮系ハッカー集団との関連が指摘されました。その後もCoW Swap、Zerion、Rhea Finance、Silo Financeなど十数件の小規模ハッキングが続いています。

今回のKelp DAOハッキングが際立つのは、単一プロトコルの問題が、クロスチェーンインフラ・リステーキングモデル・レンディング市場という3つの異なる領域を同時に揺るがした点です。これは、DeFiの相互依存性がいかに深いかを示しています。

DeFiの総預金額（TVL）は2021年のピーク時に比べて既に大幅に縮小しており、今回の事件はさらなる信頼毀損につながりかねません。一方で、LayerZeroやKelpDAOはまだ根本原因の特定を続けており、セキュリティ組織SEALと協力して事後報告書の作成を進めています。

投資家・開発者・規制当局、それぞれの受け止め方

投資家の視点から見れば、「分散型」だから安全という前提が崩れた瞬間です。リキッドリステーキングトークン（LRT）は、ETHを動かしながら利回りを得られる魅力的な仕組みでしたが、その複雑さが今回、リスクの連鎖を生みました。「どのプロトコルに預けても安全ではないかもしれない」という不安は、DeFi全体への資金流入を鈍らせる可能性があります。

開発者コミュニティでは、「設定ミス」か「設計上の欠陥」かで議論が分かれています。cryptogoblinのように「これはKelp固有の設定問題であり、LayerZero自体の問題ではない」と主張する声がある一方、Fishy Catfishのように「最低限のセキュリティ基準を設けないモジュラー設計そのものに問題がある」と指摘する声もあります。この議論の行方が、今後のクロスチェーンインフラの設計思想を左右するかもしれません。

規制当局の視点では、今回の事件はDeFiへの監督強化を求める声を後押しする材料になり得ます。日本でも金融庁が暗号資産交換業者への規制を段階的に強化してきましたが、DeFiのような「管理者不在」のプロトコルへの対応は、世界中の規制当局にとって未解決の課題です。

日本市場への影響という観点では、国内の暗号資産取引所がrsETHやAaveトークンを取り扱っているケースは限定的ですが、DeFi全体への信頼低下は、ブロックチェーン技術を活用した金融サービスの普及に向けた取り組みにも影を落とす可能性があります。