2億9,200万ドルのKelpエクスプロイト：それがどのように起こったのか、そしてそれがDeFiにとって何を意味するのか

週末に発生した約2億9,200万ドルのエクスプロイトは暗号通貨業界を震撼させ、分散型金融（DeFi）インフラの脆弱性を暴露し、融資プロトコル全体への波及効果への懸念を引き起こした。

調査はまだ進行中ですが、初期の分析では、攻撃の中心が Kelp の rsETH トークン (イーサの収益性のあるバージョン) であることが示唆されています ($ETH) — ブロックチェーン間で資産を移動するために使用されるメカニズム。

攻撃者はそのシステムを操作して、適切な裏付けなしで大量のトークンを作成し、すぐにそれらを担保として使用して、主に最大の分散型暗号金融業者である Aave からの融資市場から実物資産を借りて流出させたとみられます。

この事件は、ソラナベースのプロトコル「ドリフト」による2億8,500万ドルの悪用事件からわずか数週間後に起きた、DeFiへの最新の打撃であり、900億ドル近い仮想通貨セクターに対する投資家の信頼をさらに傷つけた。

攻撃の仕組み

大まかに言えば、このエクスプロイトはLayerZeroブリッジコンポーネント（資産を異なるブロックチェーン間で移動できるようにするインフラストラクチャの一部）を標的にしていたと、ハードウェアウォレットメーカーLedgerのCTOであるCharles Guillemet氏がメモでCoinDeskに語った。

ブリッジは通常、あるチェーンで資産をロックし、別のチェーンで同等のトークンを鋳造することによって機能します。このプロセスは、デポジットを確認するために、信頼できるエンティティ (多くの場合オラクルまたはバリデーターと呼ばれます) に依存します。

この場合、Kelp は事実上その検証者として機能しました。 Guillemet 氏によると、このシステムは単一署名者のセットアップに依存しており、1 つのエンティティだけがあらゆるトランザクションを承認できることを意味します。

「攻撃者はメッセージに署名できたようだ…大量のrsETHの鋳造を可能にしたようだ」と同氏は述べた。同氏は、そのアクセスがどのようにして得られたのかは依然として不明であると付け加えた。

Curve Finance の創設者である Michael Egorov 氏は、システムの構成にも同様の弱点があると指摘しました。

「たった一人の当事者を信頼すると、それが誰であろうと、何かが起こる可能性があります。」

この設定により、ソースチェーン上で対応する資産がロックされていない場合でも、攻撃者は裏付けのないトークンを効果的に作成することができました。

トークンは鋳造されるとすぐに配備されました。攻撃者は「即座にそれらを主にAaveの融資プロトコルに預け、本物を借り入れた」 $ETH 反対だ」とギルメ氏は説明した。

この策略により、問題は単一のエクスプロイトからより広範な市場の問題へと移行しました。 DeFi融資プラットフォームは現在、巻き戻しが難しい可能性のある担保を保持したままになっているが、貴重な流動資産はすでに枯渇している。

「Aave には rsETH が残されており、実際に売却したり借りたりすることはできません (原文どおり) $ETHそのため誰も撤退できません $ETH」とカーブのエゴロフは語った。

その結果、Aaveやその他の融資プロトコルは、数億ドルもの疑わしい担保や不良債権を抱えたままになっている可能性があり、ユーザーが資金の引き出しを急ぐことで潜在的な「取り付け取り付け」が起こる可能性への懸念が高まっていると同氏は警告した。

Aaveは、事件後にユーザーが資産を引き剥がしたため、プロトコル上の資産が約60億ドル減少したことを確認した。このプロトコルに関連するトークンは、過去 24 時間の取引で約 15% 下落しました。

私たちがまだ知らないこと

バリデーターがどのように侵害されたかについては、重要な疑問が残っています。このシステムは LayerZero の公式ノードに依存していたため、ハッキングされたのか、設定が間違っていたのか、誤解されたのか不確実性が高まっていました。

「ハッキングされたのか？騙されたのか？我々には分からない」とエゴロフ氏は語った。

攻撃者の身元も不明だが、ギルメ氏は、攻撃の規模から洗練された攻撃者がいることを示唆していると述べた。

「明らかに一部の脚本家ではありません」と彼は言った。

DeFiの信頼に大打撃

このエピソードの悪用は、差し迫った損失を超えて、DeFi の相互接続が進むにつれて、ある層の障害がすぐにシステム全体に連鎖する可能性があることを思い出させるものとして機能します。

エゴロフ氏は、資産がプール間でリスクを共有する非分離融資モデルでは、こうした事象の影響が増幅されると主張した。

同氏はまた、新しい資産を融資プラットフォームに組み込む方法に欠陥があることを指摘し、Kelpの1-of-1検証者のセットアップのような構成はもっと早くに報告されるべきだったと述べた。

しかし、エゴロフ氏は明るい兆しがあると語った。「仮想通貨はどの銀行も生き残れなかったであろう厳しい環境だが、われわれはそれに対処している」と同氏は語った。「DeFiはこの事件から学び、以前よりも強くなると思います。」

それでも、このような事件がプロトコルのアップグレードや再設計につながる一方で、より広範なDeFiセクターに対する投資家の信頼も削り取ることになる。

「全体的に見て、DeFiプロトコルに対する信頼はこの種の出来事によって損なわれている」とギルメ氏は語った。

「そして、2026年は再びハッキングに関して最悪の年になる可能性が最も高い」と同氏は付け加えた。