レポート一覧に戻る
インシデント
DeFi
セキュリティ
Fireside Crypto
2026年04月24日国家規模の攻撃が露呈させたDeFiの「設計思想バグ」── Kelp DAO 4.5億ドル流出、北朝鮮ラザルス関与で2兆円TVLが2日で蒸発
#### 事案の核心 ― クロスチェーンブリッジの「オフチェーン層」攻撃
2026年4月18日17:35 UTC、Ethereumベースのリキッド・リステーキングプロトコルKelp DAOは、自身のrsETHトークンを各チェーンに移送するLayerZero製ブリッジから、11万6,500 rsETH（約2.92億ドル／約450億円）を流出させた。これはrsETH流通量の約18%に相当し、2026年最大のDeFiハックとなった。攻撃手法は、スマートコントラクト自体ではなくオフチェーンの検証インフラ（RPCノード）を狙った高度なものだった：(1) LayerZeroが運用するDVN（分散型検証ネットワーク）が参照する内部RPCノード2台のop-gethバイナリを悪意あるバージョンに差し替え、(2) 残りの外部RPCにDDoS攻撃を仕掛けてフェイルオーバーを誘発し、(3) 汚染されたRPCのみがDVNに偽情報を流し、他のIP（監視インフラ含む）には正常な値を返すという選択的隠蔽を実装。Ethereum側コントラクトはソースチェーンでの「焼却（burn）」が存在しないにも関わらず、rsETHを攻撃者アドレスに解放した。
#### ラザルスグループ「TraderTraitor」 ― 18日間で890億円超を強奪
LayerZeroは4月20日、本攻撃を北朝鮮のラザルスグループの下部組織TraderTraitorに高い予備的確度で帰責。同グループはわずか18日前の4月1日にもSolana系Drift Protocolを2.7億ドル超で攻撃しており、合計5.75億ドル超（約890億円超）を「ガバナンス署名者へのソーシャルエンジニアリング」と「インフラRPC汚染」という構造的に異なる2手法で連続奪取している。Safe Ecosystem Foundationのルーカス・ショール会長は、AIによるソーシャルエンジニアリングが攻撃ペースを加速させており、DeFi業界は国家レベルの敵対勢力に直面しているにも関わらず防御体制が旧態依然だと警鐘を鳴らした。
#### 責任の押し付け合いと業界への波及
LayerZeroは「Kelpが推奨に反して1/1 DVN構成を採用した」と主張する一方、Kelp DAO側は「1/1 DVNはLayerZeroのドキュメントとデフォルト設定そのものであり、L2展開時にもLayerZero側から『適切』と肯定された」と反論。CoinDeskの取材では、LayerZero上の40%のプロトコルが現在も同じ1/1構成で稼働しているとされる。被害は連鎖し、Aaveは2つの不良債権シナリオ（最大2.3億ドルの bad debt）を試算しrsETH市場を凍結。SparkLend、Fluidなど少なくとも9プラットフォームが影響を受け、DeFi全体のTVLは48時間で約130億ドル（約2兆円）流出し856.4億ドルへ低下、約1年ぶりの低水準となった。Curve創設者マイケル・エゴロフ氏は「中央集権的な単一障害点に起因する」と指摘し、Lido DAOは救済枠組みへの2,500 stETH拠出を提案した。
#### ウォール街の懐疑と運用思想の根本問題
ジェフリーズのアナリスト、アンドリュー・モス氏は本件がウォール街金融機関のブロックチェーン・トークン化推進ペース見直しを促す可能性に言及。CertiKのウェンザオ・ドン氏は「多くのDeFiチームがセキュリティを依然『オーバーヘッド（利益を生まないコスト）』と捉えている」と批判し、Oasysディレクターの満足亮氏も「RPC・鍵・バイナリ整合性などのオフチェーン領域に業界標準がない」状況を問題視。TVL当たりのセキュリティ人員比が低下傾向にあるなど、設計の高度化に運用人材が追いついていない構造的問題が露呈した。
### 【事業開発に関するインサイト】
1. セキュリティ対策の強化が急務である
2. 攻撃手法の多様化に備える必要がある
3. 業界全体での防御力向上が求められる
出典：CoinPost（2026年4月22日）／LayerZero公式インシデント声明（2026年4月20日）／CoinDesk「LayerZero blames Kelp's setup」「Kelp DAO claims LayerZero's default settings」（2026年4月20日）／The Block「Kelp DAO shifts blame to LayerZero」（2026年4月21日）／Chainalysis「Inside the KelpDAO Bridge Exploit」（2026年4月23日）／SecurityWeek（2026年4月21日）／DEXTools News／Sherwood News／CryptoTimes（2026年4月20日）／Aave Bad Debt Scenario Report（2026年4月）／満足亮氏（Oasys）X投稿／CoinPost関連記事「JPモルガンがDeFiの機関投資家普及に懸念」（2026年4月24日）
監修
石田陽之（いしだあきひさ）
Cabinet株式会社 代表取締役
2017年より、一貫してトークンやNFTの活用、ブロックチェーンゲームの企画・開発、NFTを活用した事業開発に従事。大手エンタメ上場企業を始め、80件以上のブロックチェーンプロダクトに対し事業責任者や設計、PM、アドバイザー等、様々な立場でブロックチェーン関連の事業開発に関わってきた。2021年よりCabinet株式会社を創業。
免責事項
本レポートは、暗号資産および関連市場に関する情報提供のみを目的として作成されたものであり、特定の暗号資産の購入、売却、保有その他一切の取引行為を推奨・勧誘するものではありません。また、金融商品取引法その他の関連法令に定める投資助言、投資勧誘、または金融商品の販売・媒介に該当するものではなく、税務・法務・会計上の助言を構成するものでもありません。
本レポートに記載された情報は、作成時点において信頼できると判断した情報源に基づいておりますが、その正確性、完全性、最新性、有用性等について当社は何ら保証するものではありません。暗号資産は価格変動が大きく、元本の毀損その他の損失が生じるリスクを伴います。投資判断は、利用者ご自身の責任と判断において行っていただくものとし、本レポートの利用に起因して生じたいかなる損害についても、当社は一切の責任を負いかねます。
ブロックチェーン新規事業のご相談
Cabinetでは、アイデア段階からの壁打ち、技術検証（PoC）、そして実装・運用まで一気通貫で伴走する事業開発コンサルティングを提供しています。まずはお気軽に無料相談をご利用ください。
← 前の記事
600兆円規模のイスラム金融市場が仮想通貨と接続──欧州銀行級カストディ「Taurus」が初のシャリア準拠L1「ZIGChain」を正式支援
次の記事 →
ヘアドライヤーで34,000ドル ── シャルル・ド・ゴール空港の温度計操作事件が露呈した予測市場の「物理オラクル問題」
ニュースレターに登録する
本レポートに掲載した内容に加え、業界の最新情報・未公開レポートをメールでお届けします。