DeFiから2億8500万ドルが消えた日

「分散型」という言葉は、安全を約束しない。

2026年4月1日、分散型金融（DeFi）プラットフォームのDriftが、進行中のサイバー攻撃を受けていることを公式に認め、全ユーザーへの入出金を一時停止しました。エイプリルフールの冗談であってほしかったかもしれませんが、これは現実の話です。

何が起きたのか

ブロックチェーンセキュリティ企業のCertiKは約1億3600万ドル相当の暗号資産が盗まれた可能性があると発表し、暗号資産分析企業のArkhamはその数字をさらに上回る2億8500万ドルと試算しました。両社の推計には開きがありますが、いずれの数字が正確だとしても、暗号資産盗難の規模を追跡するサイト「Rektリーダーボード」によれば、2026年に入って最大規模の盗難事件となる見込みです。

DriftはX（旧Twitter）への投稿で「現在、アクティブな攻撃を受けている」と述べ、「インシデントの封じ込めに取り組んでいる」と説明しました。攻撃の手口や犯人についての詳細は、記事執筆時点では明らかになっていません。同社の広報担当者もコメント要求に応じていない状況です。

なぜ今、これが重要なのか

この事件を単なる「また起きたDeFiハック」として片付けることはできません。背景には、より大きな地政学的な影が潜んでいます。

セキュリティ企業各社の調査によれば、2025年に発生した暗号資産盗難の多くは北朝鮮のハッカー集団が関与しており、少なくとも20億ドル相当が盗まれたとされています。これらの資金は、国際制裁をかいくぐるための核兵器開発プログラムの資金源になっていると広く信じられています。今回のDriftへの攻撃が同じ主体によるものかどうかはまだ不明ですが、その可能性は捜査当局の関心を集めています。

広告

広告掲載について

[email protected]

広告

日本にとってこの問題は決して遠い話ではありません。2018年のコインチェック事件（約580億円相当のNEM流出）や2014年のマウントゴックス事件など、日本は世界的に見ても大規模な暗号資産盗難の舞台となってきた歴史があります。現在、日本国内でも暗号資産取引所やDeFiサービスを利用するユーザーは増加しており、今回の事件は対岸の火事とは言えません。

「分散型」は本当に安全なのか

DeFiの根本的な思想は、銀行などの中央集権的な管理者を排除し、スマートコントラクトと呼ばれるプログラムによって金融取引を自動化・透明化することです。しかし皮肉なことに、その「管理者不在」という特性が、問題発生時の対応を困難にします。

今回、Driftは入出金を停止するという中央集権的な判断を下しました。これはユーザー保護のための措置ですが、同時に「完全な分散型」という理念との矛盾を露わにしています。スマートコントラクトのコードに脆弱性があれば、それを修正するのは容易ではなく、一度流出した資金の回収はほぼ不可能です。

投資家の視点から見れば、DeFiプラットフォームは高いリターンの可能性と引き換えに、従来の金融機関が提供する預金保護や補償制度が存在しないリスクを負っています。日本の金融庁（FSA）は暗号資産交換業者に対して厳格な規制を設けていますが、DeFiプロトコル自体はその規制の枠外に置かれているケースが多く、監督の空白が生じています。

関係者たちの異なる視点

Driftのユーザーにとっては、資産が凍結されるという直接的な被害が生じています。入出金停止は攻撃の拡大を防ぐための措置ですが、正当な取引をしようとしていたユーザーにとっては突然のアクセス遮断を意味します。

規制当局の立場からすれば、この事件はDeFiに対する監督強化の必要性を裏付ける事例として捉えられるでしょう。米国、EU、そして日本でも、DeFiプラットフォームをどのように規制の枠内に取り込むかという議論が続いています。

一方、ブロックチェーン技術の支持者たちは、問題はDeFiという概念そのものではなく、個別プロジェクトのセキュリティ実装の甘さにあると主張します。オープンソースのコードは誰でも監査できる透明性があり、長期的にはより安全なシステムへと進化できるという見方です。

そして北朝鮮のような国家的ハッカー集団の存在は、これがもはや個人のハッカーによる犯罪ではなく、地政学的な経済戦争の一形態であることを示しています。暗号資産盗難は制裁逃れの手段として機能しており、国際社会全体の問題です。