#rsETHAttackUpdate

ケルプDAOブリッジがハッキングされ、DeFiに100億ドルの衝撃
2026年4月18日土曜日、暗号市場は今年最大のDeFi攻撃に見舞われた。ハッカーは、Kelp DAOのrsETHトークンをチェーン間で移動させるLayerZero搭載のブリッジから正確に116,500 rsETH、約2億9200万ドル相当を流し去った。このエクスプロイトはUTC17:35の一回の取引で起きた。攻撃者は偽造されたLayerZeroパケットでブリッジを騙し、rsETHを空にした。
何が起こったのか？技術的な詳細解説
単一DVNの脆弱性：ユニチェーンからイーサリアムへのブリッジルートは1つのDVN設定で動作しており、検証者は一人だけだった。攻撃者はRPCノードを操作し、偽のパケットを作成し、唯一の検証者がそれに署名した。
ブリッジが空になった：イーサリアム上のOFTアダプターは116,723 rsETHを保持していた。攻撃後、残高はわずか223 rsETHに減少した。
資金はどこへ：盗まれたrsETHのうち、89,567はAave V3に担保として預けられた。その後、ハッカーは82,650 WETHと821 wstETHをそれに対して借りた。ヘルスファクターは1.01から1.03の間で、ポジションは清算のギリギリの状態だった。
ケルプDAOチームは緊急マルチシグを発動し、46分以内にすべてのコントラクトを停止した。もし行動しなかったら、攻撃者はさらに40,000 rsETHを引き出し、総損失は3億9100万ドルに達していた可能性がある。
暗号市場への影響：ドミノ倒しの展開
1. Aaveの流動性危機
Aaveは総rsETH供給の83％を保有していた。ハッカーが担保を出し入れし、Aaveは突然1億2400万ドルから2億3000万ドルの潜在的な不良債権にさらされた。
結果：
AaveのTVLは450億ドルから300億ドルに3日で減少し、33％の下落。
ユーザーはパニックになり資金を引き出した。約101億ドルの資産がプロトコルから流出。
ETHの借入金利は2％から8％に跳ね上がり、2024年1月以来の最高水準に。
USDTとUSDCの借入金利も3.4％から14％に急騰。
AaveはrsETHとwrsETHの市場をイーサリアム、Arbitrum、Avalanche、Base、Linea、Mantleを含む11ネットワークで凍結した。
2. 価格動向とTVLの減少
AAVEトークンは15％から18％の価値を失った。
全体のDeFi TVLは4月18日に990億ドルから890億ドルに減少し、100億ドルの喪失となった。
ジャスティン・サンは一度の取引で65,580 ETH、約1億5400万ドルを引き出した。
3. 連鎖反応
SparkLendとFluidもrsETH市場を閉鎖。LidoはrsETH関連の新規預入を停止。リレイインフラは稼働し続けたが、AaveのWETH市場にロックされた担保のため、ボールトの引き出しは停止した。
誰が責任者か？注目が集まる
LayerZeroはラザルスグループを指摘。RWATimesの報告は彼らのTraderTraitorサブグループを指摘した。攻撃者のウォレットはTornado Cashを通じて資金提供されていた。
重要な詳細：LlamariskとAaveの報告によると、Aave自身のコントラクトは侵害されていなかった。問題は完全にKelp DAOのブリッジ設定にあった。
回復計画：30,000 ETHの救済策
MantleはAave DAOに最大30,000 ETHの貸付を提案し、不良債権をカバーする計画。ローン期間は36か月、金利はLidoの利回りに1％を加えたもの。Stani Kulechovは「DeFi United」のフレーズとともに支援を発表した。
ケルプDAOは40,373 rsETHを回収できた。これは全L2の152,577 rsETH需要の26％に過ぎない。メインネットのrsETHはステーキングに直接裏付けられているため、現時点では影響を受けていない。
この事件からの3つの教訓
1. ブリッジのセキュリティはDeFiのセキュリティと同じ：単一検証者DVNを運用することは、2億9200万ドルを一つのパケットに信頼することを意味する。LayerZeroを使うプロジェクトは今後、マルチDVN設定やオプションの検証者を採用する可能性が高い。
2. LRTのシステムリスク：rsETHのような流動性の高いリステーキングトークンがAaveのような巨大プロトコルに集中すると、単一のエクスプロイトで市場全体が揺らぐ。83％を一つのプロトコルに預けるのは過剰なリスクだ。
3. オラクルの遅れ：ハッキング中、AaveはrsETHの価格をほぼペッグに保ち、106,467 ETHの借入を許可していた。ブリッジのエクスプロイトは価格フィードに十分に反映されなかった。
次に何が起こるか
短期的には、L2上のrsETHバージョンは流動性を保たないまま残る。ブリッジにある40,373 rsETHはすべてのL2のrsETHをカバーできないため、Arbitrum、Base、MantleのrsETHはしばらくレシートのように振る舞う。
中期的には、Aaveの不良債権がMantleのローンとケルプDAOの返済によって清算されれば、信頼は回復する可能性がある。規制当局はブリッジの基準により厳しい目を向けるだろう。アルジャジーラ経済が報じたように、この攻撃は2026年のDeFiセキュリティ侵害の拡大傾向の一部だ。
最後の考え
#rsETHAttackUpdate は単にケルプDAOだけを攻撃したわけではない。Aaveが100億ドルを失ったことは、すべてのDeFiがいかに相互に連結しているかを示している。今後は、ブリッジの監査を誰が行っているかの方が、APYよりも重要になるだろう。
引き続き注目しよう。ケルプDAOが回収した40,373 rsETHをどう分配するかは未だ不明だ。その決定次第で、L2上のrsETHホルダーの損失が決まることになる。