報酬ハブ 
2025年4月18日から20日にかけて、DeFiのトータルバリューロック（TVL）は約990億ドルから850億ドルへと減少し、過去1年以上で最も急激な2日間の落ち込みとなりました。この要因は、Kelp DAOのブリッジコントラクトに対する2億9200万ドル規模の不正流出です。KelpのrsETHトークンは、少なくとも9つのレンディングマーケットで担保として利用されていました。攻撃者がKelpのブリッジ契約から資金を流出させたことでrsETHのペグが失われ、数十億ドル規模のDeFiローンの担保が数時間で消失しました。Aaveでは、拡大する影響を警戒したユーザーによる流出が66億ドルに達しました。
DeFiユーザーにとって最も注目すべき数字は2億9200万ドルではなく「15か月」です。これは、CryptoTimesがLayerZeroのエンジニアによるKelp DAOの単一バリデータブリッジ構成の脆弱性指摘を報じてからの期間です。Kelpは警告を認識していましたが、対応はされていませんでした。
Kelp DAOの不正流出の仕組み
攻撃者は、Kelp DAOのクロスチェーンブリッジを標的にしました。このブリッジは、Ethereumメインネットと再ステーキングレイヤー間のトランザクションを単一バリデータで検証していました。LayerZeroのセキュリティチームは、2025年1月にこの構成が単一障害点を生み出すことを警告していました。
4月18日、攻撃者はこの脆弱性を突いてバリデータキーにアクセスし、イーサリアムメインネット上で裏付けのないrsETHを発行しました。発行されたrsETHはただちにレンディングプロトコルへ担保として預け入れられ、ETHやステーブルコインを借りて複数のチェーンへと資金が移されました。Kelpの監視システムが異常を検知した時点で、既に2億9200万ドル分の資金が流出していました。
被害額は2億9200万ドルですが、rsETHはDeFiレンディングの基盤インフラとして多層的に利用されていたため、影響はそれ以上に拡大しました。
2億9200万ドルが140億ドルの損失につながった理由
今回の影響の本質は、盗まれた金額そのものではなく、rsETHがDeFiスタック内の中核担保として使われていたことにあります。
rsETHのようなリキッド・リステーキングトークンは、ETHをステークしrsETHを受け取り、それをさらにレンディングプロトコルで担保にすることで複利的な資本効率を高める設計です。しかし、そのぶんレバレッジ層が増えるたびにシステミックリスクも拡大します。
今回の流出でrsETHのペグが崩れると、9つのプロトコルがrsETHマーケットを同時に凍結。担保としてrsETHを利用していた借り手は即座に清算対象となるか、あるいは市場が凍結されたことで退出もできなくなりました。ペグが失われる事例が出ると、rsETHを担保とする全ポジションが事実上無担保化するため、預け手が一斉に資金を引き上げるのは合理的な対応でした。
Aaveは単一プロトコルとして最大の影響を受け、わずか36時間で66億ドルの資金流出となりました。Aave自体が攻撃されたわけではなく、預け入れ資産の裏付けとなっていたrsETHの価値を信頼できなくなったことが理由です。これは典型的なバンクランの論理であり、担保品質の検証ができなければ、まずは資本を引き上げるのが市場参加者の行動パターンです。
| プロトコル | 対応措置 | 推定流出額 |
|---|---|---|
| Aave | rsETH市場を凍結、新規預入停止 | $6.6B |
| Compound | 緊急ガバナンス投票によるrsETH上場廃止 | $1.2B |
| Morpho | 自動リスクパラメータ調整 | $890M |
| Euler | rsETHボールトの凍結 | $740M |
| Spark (MakerDAO) | rsETH担保の利用停止 | $620M |
他のプロトコルも数時間以内に対応し、4月20日にはDeFi全体のTVLは約850億ドルまで減少しました。これは2025年10月のピークから50%以上低い水準であり、2025年4月以降最低値となります。
15か月前の警告とガバナンスの問題
この事件は単なるハッキング被害ではなく、ガバナンス上の失敗でもあります。
2025年1月、LayerZeroのクロスチェーンセキュリティチームはKelpを含むリキッドリステーキングブリッジの内部評価を公開し、単一バリデータ構成では5000万ドル超の資産担保には「著しく不十分」と指摘しました。当時、Kelpのブリッジは約1億8000万ドル規模でした。
LayerZeroは、最低5つの独立したバリデータによるマルチシグ構成（3-of-5）を推奨し、技術的な実装支援も申し出ていました。Kelp側はレポート受領を認めたものの、15か月後もマルチシグ化は実行されず、追加のセキュリティ対策も導入されませんでした。その間、TVLは1億8000万ドルから4億ドル超へ成長し続けました。
DeFiコミュニティでは、セキュリティ監査の開示やブリッジ保険、バリデータ数の最低要件義務化などの提案がガバナンスフォーラムで多く議論されています。しかし、これは2022年のWormhole流出や2023年のMultichain崩壊後にも繰り返されてきた議題であり、橋渡しインフラの失敗ごとに同じ会話がされているのが現状です。
TVL急減が示すDeFiリスクの現状
850億ドルというTVL水準は、単なる数字以上の意味を持ちます。
2025年10月のリステーキングブーム時にはTVLは約1700億ドルまで拡大していましたが、Kelp流出前の時点で既に42%減となる990億ドルまで下落していました。これは市場全体の弱含み傾向やイールドファーミング活動の減少によるものです。Kelp DAOの事案はこの減少トレンドをさらに加速させ、2日で14%減となり、2024年ベアマーケットからの回復期以来の水準にまで落ち込みました。
資金流出の内訳にも注目です。DeFiLlamaのデータでは、最大の流出はレンディングプロトコル（Aave、Compound、Euler）からであり、DEXやイールドアグリゲーターからではありません。つまり、流動性危機ではなく担保信頼性危機です。UniswapやCurveでのトークンスワップ活動は継続されている一方、担保品質が不明なプールへの貸付は敬遠されている状況です。
参考までに、2022年5月のTerra/Luna崩壊時はTVLが約300億ドル下落しました。Kelp DAOに起因する今回の140億ドル減は絶対額としては小さいものの、基準値に対する割合としては同様レベルの衝撃と言えます。また、ペグ維持が前提のトークンが崩壊し、担保連携していた全プロトコルが連鎖的に影響を受けた点も酷似しています。
DeFiプロトコルの現在の対応
主要プロトコルでは、緊急対応から構造的な変更へと議論が進んでいます。
Aaveのガバナンスフォーラムでは、単一リキッドステーキングデリバティブを全担保の15%までに制限する案、受け入れ担保すべてに一定水準以上のブリッジ保険を義務化する案、クロスチェーン担保に対する四半期毎の外部監査義務化（未達成時は自動上場廃止）などが提案されています。
MakerDAOのSparkプロトコルはさらに踏み込んで、最低5-of-9のマルチシグバリデータセットを持つブリッジでなければ、リキッド・リステーキングトークンを担保として認めない方針を発表しています。これにより現在市販されている大半の同種トークンは除外される形となります。
Compoundも18時間以内に緊急ガバナンス投票を実施し、rsETHの恒久的な上場廃止と、新規担保タイプには72時間のセキュリティレビュー期間を義務化することを決定しました（従来は48時間）。
こうした変更は意味のある一歩ですが、あくまで事後対応です。DeFiでは、脆弱性が指摘された後に初めて特定リスクが塞がれ、次の攻撃は未対応部分を突くという構造が繰り返されています。
よくある質問
Q: なぜ2日間で140億ドルもTVLが減少したのですか？
A: Kelp DAOのブリッジ流出でrsETHのペグが崩れ、主要9プロトコルで担保信頼性への懸念から預入資金の大量引き出しが発生したためです。Aaveのみで36時間に66億ドルが流出しています。
Q: Kelpの流出は防げなかったのでしょうか？
A: 利用可能な証拠から見て、十分防ぐことは可能でした。LayerZeroは15か月も前に単一バリデータ構成の危険性を警告し、マルチシグへの移行を推奨していましたが、Kelp側は実装しませんでした。
Q: DeFiのTVLはすぐ回復しますか？
A: 回復には、レンディングプロトコルが新しい担保基準を速やかに導入し、預け手の信頼を取り戻すこと、全体の市場環境次第です。現在TVLは2025年10月ピークから約50%減少しており、担保危機が信頼面での追加悪材料となっています。過去のTerra崩壊の例からも、回復には数か月単位かかる見通しです。
Q: DeFiレンディングから資金を引き揚げるべきですか？
A: リスクは、リキッドリステーキングトークンを担保に据えたままのプロトコルに集中しています。既にrsETHを凍結・上場廃止し、担保要件を厳格化したAaveやCompound、Sparkなどは直近の脆弱性に対応済みです。ご自身の預入資産がどの担保タイプと連動しているか確認の上、ご判断ください。
まとめ
DeFiはTerra/Luna以来最大の担保危機を経験しました。最も重要な教訓は、2億9200万ドルの損失そのものではなく、脆弱性が明確に指摘されていたにもかかわらず15か月間放置され、その間にプロトコルが3倍に成長していたという事実です。TVLは12か月ぶりの最低水準となる850億ドルに落ち込んでおり、信頼の回復には技術的修正以上の時間が必要となるでしょう。
担保上限やブリッジ監査、マルチシグ要件の整備は正しい方向性ですが、いずれも「最後の失敗」への対応であり、本質的な構造リスクは依然残されています。DeFiのコンポーザビリティは最大の強みである一方、システミックリスクの温床でもあるため、高度に連携した担保チェーンに見合ったセキュリティ標準の策定が不可欠です。
今後2週間のAaveガバナンス投票に注目しましょう。担保上限15%案が可決されれば、業界全体の新たな基準となり、同種リスクへの本格的な構造的防止策となる可能性があります。
本記事は情報提供のみを目的とし、投資助言や金融アドバイスではありません。暗号資産取引にはリスクが伴います。ご自身で十分に調査のうえご判断ください。
