DeFiは死んでいない——$130億流出の真実

KelpDAOの$2.9億エクスプロイトでDeFi TVLが約$130億減少。しかしデータが示す実態は「崩壊」ではなく「リスクの再評価」だった。DeFiの回復力と今後の課題を多角的に分析。

130億ドルが消えた——その見出しだけを読めば、誰もが「DeFiはついに終わった」と思うだろう。しかし、数字の裏側を覗くと、まったく異なる物語が見えてくる。

何が起きたのか：エクスプロイトの全貌

2026年4月下旬、分散型金融（DeFi）プロトコルのKelpDAOが2億9,200万ドル規模のエクスプロイト（悪用攻撃）に見舞われた。注目すべきは、今回の攻撃がよくあるスマートコントラクトのバグではなく、クロスチェーン通信プロトコルLayerZeroの検証スタックに使われるインフラを標的にした点だ。LayerZeroは今回の攻撃を北朝鮮のハッカー集団「ラザルスグループ」と暫定的に結びつけており、KelpDAOが繰り返しの推奨にもかかわらず「単一検証者」構成を採用し続けていたことが攻撃成功の一因だったと説明している。

この攻撃により、KelpDAOが発行するリキッドステーキングトークン「rsETH」は裏付け資産を失い、特にAaveのWETHプールへの不良債権波及への懸念が広がった。結果として、Aave単体で48時間以内に84億5,000万ドルの資金流出が発生。DeFi全体のTVL（預かり資産総額）は80億ドル台半ばまで落ち込み、ほぼ1年前の水準に逆戻りした。

しかし、ここで立ち止まって考えてほしい。2億9,200万ドルの盗難が、なぜ130億ドルのTVL減少を引き起こすのか？

数字のトリック：レバレッジが膨らませたTVL

その答えは「ループ戦略」と呼ばれる手法にある。DeFiユーザーの多くは、リキッドステーキングトークンを担保に差し入れてETHを借り、そのETHでさらにリキッドステーキングトークンを購入し、また担保に入れる——という操作を繰り返す。同じ資産が何度もTVLにカウントされるため、数字は実態より大きく膨らむ。上昇時には数字を押し上げ、危機時には急速に収縮する。

エクスプロイト直前、Aave上のrsETH残高は急増しており、約58万トークン（約13億ドル相当）に達していた。この「積み上がったレバレッジ」が、今回の急激な巻き戻しを引き起こした主因だ。実際の正味資本損失は見出しの数字よりはるかに小さい——とはいえ、その正確な金額を算出するのは難しい。

さらに背景として、利回り環境の変化も見逃せない。今年4月初頭時点で、AaveのUSDC預金APYは2.61%に過ぎず、大手証券会社インタラクティブ・ブローカーズの待機資金利率（3.14%）を下回っていた。DeFiの複雑さとリスクを正当化してきたリスクプレミアムが消滅し、その穴をレバレッジが埋めていた——これが今回の連鎖反応の根本にある構造的問題だ。

広告掲載について

[email protected]

DeFiはもっとひどい危機を乗り越えてきた

「DeFiは死んだ」という言葉は、大きなハックが起きるたびに繰り返されてきた。しかし歴史はそれを否定し続けている。

Terraの崩壊は数百億ドル規模の損失をもたらし、業界全体の信頼を揺るがした。WormholeとRoninはそれぞれ約10億ドルを失った。Multichainは事実上消滅した。そして今年2月、取引所Bybitは15億ドルという記録的な盗難被害を受けながらも、引き出し急増を処理し、準備金を回復させ、現在も数十億ドル規模の取引量を維持している。

DeFiの情報サービスDefiLlamaの創設者「0xNGMI」氏はこう語る。「損失は深刻だが、存在を脅かすものではない。Aaveは財務準備金や融資など、損失をカバーする多くの手段を持っている」。実際、報道時点でAaveは必要な約2億ドルの不良債権カバーのうち、すでに約80%（1億6,000万ドル）を調達済みだ。

資本は「逃げた」のではなく「動いた」

興味深いのは、資金がDeFiから完全に離れたわけではない点だ。SparkプロトコルのTVLは週末の間に18億ドルから29億ドルへと急増した。Sparkは今年1月にrsETHなどの低利用資産をリスト除外していたため、今回の混乱から距離を置くことができた。その判断が当時はAaveへのビジネス機会を逃すことを意味したが、現在はAaveが複数の市場で流動性不足に陥る中、Sparkは十分な引き出し流動性を維持している。

これは単なる「パニック売り」ではなく、リスクに敏感な資本の「選別的移動」だ。DeFi内部でも、より保守的なリスク管理を選んだプロトコルが評価されるという、ある種の市場規律が働いている。

日本市場への視点：静かに広がるDeFiリスク

日本では、金融庁（FSA）が暗号資産に対する規制整備を進めており、DeFiへの直接的な規制はまだ発展途上だ。しかし今回の事件は、日本の機関投資家やWeb3関連企業にとっても無関係ではない。

特に注目すべきは攻撃ベクターの変化だ。今回は「スマートコントラクトのバグ」ではなく「インフラレベルの脆弱性」が狙われた。これはDeFiのセキュリティ監査の範囲が、コードのみならずインフラ設計・運用体制全体に拡大する必要があることを示唆する。日本のブロックチェーン開発者やWeb3スタートアップにとって、この教訓は直接的に適用できる。

また、今回の件は「分散化」の名の下に集中リスクが蓄積される逆説を浮き彫りにした。単一検証者の採用、レバレッジの集中、特定プロトコルへの資産集中——これらはいずれも「DeFi的」でありながら、伝統的金融が警戒するシステミックリスクの要素を内包している。