Kelp DAO、DeFiブリッジの脆弱性攻撃による2億9,200万ドルの資産回収を完了

Kelp DAOは、2億9,200万ドルの脆弱性攻撃（エクスプロイト）を受けた後の回収計画を完了し、4月18日に攻撃者によって流出したクロスチェーンブリッジに対し、5月25日に約116,500 rsETHの補充を終えました。

「本日未明、最終分となる20,373.72 rsETHがrsETH OFTアダプターに送金されました」とKelp DAOは声明で述べました。「これにより、rsETH回収計画の運用部分は終了します」

この攻撃は、クロスチェーン送金に使用されるブリッジコントラクトであるKelpのLayerZero OFTアダプターを標的としたもので、攻撃者は偽造されたパケットを使用して資金を放出させました。この事件は連鎖的な影響を及ぼし、攻撃者は裏付けのないrsETHをレンディングプロトコルのAaveに預け入れて他の資産を借り入れました。その結果、不良債権が発生し、Aaveは一時的にWETHの借り入れ停止を余儀なくされました。

この回収により、5ヶ月間で業界から計8億4,000万ドル以上を流出させた2026年最大のDeFiハッキング事件の一つに終止符が打たれました。この事件を受けて業界全体でセキュリティの再評価が行われ、Kelpはより安全なChainlinkのCCIPブリッジインフラの採用を決定し、LayerZeroは脆弱性の根本原因であった単一署名者設定に関する管理を強化しています。

攻撃の分析

セキュリティ研究者は、4月18日の攻撃をUNC4899としても知られる北朝鮮関連グループ「TraderTraitor」によるものと断定しました。LayerZeroの事後報告書によると、攻撃の手口にはソーシャルエンジニアリングと侵害されたRPCノードが含まれており、攻撃者はKelpのブリッジ設定における「1-of-1 DVN（分散型検証ネットワーク）」構成を悪用しました。これは、侵害された一人の検証者が不正なトランザクションを承認できることを意味していました。

その影響は即座に、かつ広範囲に及びました。攻撃者は約116,500 rsETHをイーサリアムメインネットにブリッジし、それをAaveの担保として使用してWETHを借り入れました。これにより、ブリッジの失敗がシステム的なDeFiレンディング危機へと発展しました。Aaveのデータによると、事件直後に預かり資産（TVL）は80億ドル以上減少しました。

連携による回収

対応には、Kelp、Aave、およびその他の業界パートナーによる多角的な取り組みが行われました。「DeFi United」と銘打たれた救済イニシアチブは、Aaveで発生した不良債権を補填するために、約3億300万ドル相当の132,650 ETHを調達しました。

Kelpの運用回復は、rsETHの1対1の裏付けを復元するために、LayerZero OFTアダプターコントラクトを計画的に再充填することに重点を置きました。最終分が送金されたことで、プロトコルは発行、償還、および報酬が通常の運用に戻ったことを確認しました。その後、Aaveはイーサリアム、Arbitrum、Base、およびその他のネットワーク上のV3展開において、担保に対するWETHの借り入れを再開しました。

より広いDeFiセクターにとって、この事件は攻撃者の主要な標的であり続けるクロスチェーンブリッジの構造的リスクに関する高価な教訓となりました。TRM Labsによると、2026年の最初の4ヶ月間における世界の暗号資産ハッキング被害の76%を北朝鮮関連の主体が占めており（2025年の64%から増加）、国家が支援するグループによる執拗で進化し続ける脅威が浮き彫りになっています。

本記事は情報提供のみを目的としており、投資助言を構成するものではありません。