報酬ハブ 
Aaveは今週以前、預金総額が200億ドルを超える最大手の分散型レンディングプロトコルでしたが、今回直接関与しない単一のエクスプロイトによって約1億9600万ドルの不良債務を吸収しました。2026年4月19日、Kelp DAOのrsETHコントラクトが2億9200万ドル規模で流出され、今年最大のDeFiエクスプロイトとなりました。攻撃者は盗んだrsETHをAave V3に担保として預け、WETHを借りました。しかし、そのrsETHはエクスプロイト後に裏付け資産を失い、担保価値が実質的に無効となりました。
24時間以内に、AaveのTVL（Total Value Locked）は約220億ドルから154億ドルへ急減し、すべてのマーケットから預金者が資金を引き出しました。AAVEトークンも取引所によって16〜20％下落しました。また、リスクに備えたプロトコルのUmbrellaセーフティリザーブも、1億9600万ドルの赤字を完全には補填できない可能性があります。
KelpエクスプロイトがAaveに波及した仕組み
Kelp DAOのエクスプロイト自体はAaveのスマートコントラクトとは関係ありません。KelpはEigenLayer上に構築されたリキッドリステーキングプロトコルで、rsETHトークンを発行しています。4月19日、攻撃者がKelpの出金メカニズムの脆弱性を突き、プロトコルの基礎資産約2億9200万ドル分を流出させました。流通するrsETHは一気に裏付けを失い、理論上のETHペグから大幅に乖離しました。
ここでAaveが関与します。Kelpチームが流出トークンを凍結する前に、攻撃者は大量のrsETHをAave V3に担保として預け、WETHを借りました。Aaveのオラクルはエクスプロイト前のrsETH価格を参照していたため、Chainlinkフィードがデペグを反映する前に、攻撃者は既にWETHを引き出していました。その結果、Aaveは融資発生時の評価額から大幅に下落した価値しか持たない担保を抱えることになりました。
これにより、1億9600万ドル規模の不良債務がrsETH-WETHレンディングペアに集中しました。これは帳簿上の損失や理論的なものではなく、実際にWETHを供給した預金者が被った損失です。
24時間でAaveから66億ドルが流出した理由
TVL減少は、不良債務そのもの以上にDeFiユーザーが注視すべき点です。不良債務はrsETH-WETHペアに限定されており、Aaveの大半のレンディングプールはrsETHへのエクスポージャーがありません。USDCやDAI、wBTC供給者もこのエクスプロイトによる資金損失リスクはありませんでした。
しかし、預金者は詳細を待たず、"Aave"と"不良債務"という報道だけで伝統的なバンクランのようなパニックに発展。全マーケット・全チェーン・全プールから資金引き出しが起こり、TVLは約220億ドルから154億ドルまで24時間で急減しました。実際の損失額1億9600万ドルに対して33倍規模の流出です。
DeFiではこのようなパターンは以前にも起きています。2023年3月のEuler Financeエクスプロイトでは、全く無関係なプロトコルからも預金流出が生じました。ただしAaveは業界最大級であり、今回の66億ドル規模の流出はDeFiレンディングの安定性そのものに警鐘を鳴らしています。
また、預金流出による二次的な影響も発生。残存プールの利用率上昇により借入金利が上がり、更なる引き出しインセンティブになりました。このフィードバックループによって、実際の損失以上のTVL減少が生じました。6.6億ドルの流出は直接的な資産損失ではなく、リスクとリターンを再評価した預金者の行動です。
1億9600万ドルの赤字はどう補填されるか
Aaveにはこうした事態に備えたUmbrellaセーフティモジュールがあります。これはプロトコル収益とAAVEステーキングによるリザーブで不良債務を補填する仕組みです。ただし、現時点で1億9600万ドルをカバーできる規模かは不明です。
2026年4月中旬時点でUmbrellaリザーブは約8000万〜1億ドル規模と推定されており、不足分9600万〜1億1600万ドルは他の手段で補う必要があります。Umbrellaモジュールの発動にはガバナンス投票が必要であり、コミュニティがどの程度まで対応するかを決める必要があります。
Umbrellaリザーブで補填できない場合、次のセーフティネットはstkAAVE保有者です。これはAAVEトークンをステーキングし、スラッシングリスクを引き受けることで報酬を得ているユーザーです。残りの不良債務をカバーするためにステーク済AAVEの一部をスラッシュする提案がガバナンスでなされる可能性があります。
Aaveの創設者Stani Kulechov氏は、今回のエクスプロイトがAaveコントラクト外部で発生したことを公表しています。「Aaveプロトコルは設計通り動作した」と強調し、脆弱性はKelp側のコードにあったと説明。ただし、担保資産が無価値化したことでWETH引き出し不可となった預金者への救済には直結しません。
AAVEトークン価格の動向
AAVEはエクスプロイト発覚後数時間で16〜20％下落し、約280ドルから224ドル付近まで下落後、235ドル付近で安定しました。売りが加速した要因は2つ。ひとつは不良債務による直接的な損失インパクトと、stkAAVE保有者へのスラッシング懸念。もうひとつは業界最大のDeFiレンディングプロトコルで9桁損失が発生したことによる評判リスクです。
トークン価格は部分的に回復したものの、依然としてエクスプロイト前水準を下回っています。今後の動向はガバナンスによる赤字処理次第です。Umbrellaリザーブで大半が迅速に補填され、残りも段階的なstkAAVEスラッシュで解決されれば信頼回復は早まります。一方、議論が長引いたり他のリステーキングトークンでも問題が発生すれば、再び下値を試す展開となるでしょう。
注目すべきは、大口AAVE保有者の対応。オンチェーンデータでは、230ドル以下で買い増すウォレットもあれば、取引所へ移動（売却準備）する動きも見られました。市場の判断が分かれており、ガバナンスの方針が決まり次第この動向も収束すると見られます。
DeFiレンディングプロトコルへの教訓
Kelp-Aave事件は全てのレンディングプロトコルが抱える構造的リスクを浮き彫りにしました。DeFiレンディングはオラクルが提供する担保評価に依存しており、外部エクスプロイトで担保資産が急落してもオラクル更新が遅れると、プロトコルが損失を背負う仕組みです。Aave自体に不具合はなく、コントラクトも設計通り動作しましたが、担保として受け入れるトークンが乗数的な依存リスクを持つことが判明しました。
これはEigenLayer登場時から指摘されてきたリステーキングコンポーザビリティリスクです。rsETH、rswETH、ezETH等のリキッドリステーキングトークンは複雑なステーキングポジションを新たなデリバティブにラップし、担保としてDeFi全体で利用されています。各層が新たな依存関係を生み、どこかが破綻すると上層全体に波及します。
今後、主要レンディングプロトコルはリステーキングトークン担保への基準を厳格化するガバナンス提案を進めるでしょう。Compound、MakerDAOなども同様にリステーキングデリバティブのリスクパラメータを再評価し、一部は担保リストから一時的に除外する可能性もあります。
預金者にとっての教訓は、レンディングプロトコル自体のスマートコントラクトは外部からのコード攻撃には強いものの、外部プロトコル由来の担保リスクへは無防備であるという点です。レンディング先を分散するだけではリスク回避にならず、真の分散は担保資産そのものの多様化にあります。
よくある質問（FAQ）
Aave自体がハッキングされたのですか？
いいえ、Aaveのスマートコントラクト自体に脆弱性はありませんでした。不良債務はKelp DAOのrsETHプロトコルが外部エクスプロイトされた結果です。攻撃者は盗んだrsETHをAaveに担保として預けてWETHを借りましたが、rsETHが裏付けを失ったため、担保資産が無価値となり、借りた資金が既に引き出された状況となりました。
Kelp事件でAaveはいくら損失しましたか？
AaveはrsETH-WETHレンディングペアに起因して約1億9600万ドルの不良債務を吸収しました。また、パニックによる預金流出でTVLは66億ドル減少しましたが、これらの大半は予防的な行動によるもので、直接的な損失ではありません。
stkAAVE保有者が損失を被る可能性はありますか？
可能性はあります。Umbrellaセーフティリザーブで全額を補填できない場合、ガバナンスでステーク済AAVEの一部をスラッシュして補う提案がなされる可能性があります。これはstkAAVE保有者がリスクの対価として報酬を受取る仕組みであり、4月20日時点ではガバナンス投票は実施されていません。
今回の件の後、Aaveへの預金は安全ですか？
Aaveのコントラクト自体は正常に稼働しており、コード上の脆弱性は確認されていません。リスクはAave自体ではなく、担保として受け入れられるトークンに由来するものです。どの担保資産が有効かを確認し、リステーキングデリバティブはETHやUSDC等に比べて追加的な依存リスクがあることを理解する必要があります。
まとめ
KelpエクスプロイトでAaveは1億9600万ドルの不良債務を背負い、TVLは66億ドル流出しましたが、プロトコルのコード自体は突破されていません。今回浮き彫りになったのはDeFiレンディングのコンポーザビリティリスク、特に外部リステーキングプロトコルへの依存です。今後7〜14日でUmbrellaリザーブの活用やstkAAVEスラッシュが必要か、ガバナンスが重要な決断を迫られます。迅速かつ明確な解決がなされれば預金者は戻り、そうでない場合や追加リスクが露見すれば、全レンディングプロトコルが担保受入基準を再考する契機となるでしょう。リステーキング担保基準をいち早く見直すプロトコルが、次の慎重な資本を集める存在となります。
本記事は情報提供のみを目的としており、投資アドバイスではありません。暗号資産取引には大きなリスクが伴います。ご自身で十分に調査の上、判断してください。
