KelpDAO不正流出から5週間、DeFi総預入資産が14%減　リスク回避の長期化が鮮明に

この記事のポイント

資金流出は5週間に続いている

The Blockが26日に報じたところによると、リキッドリステーキングプロトコルのKelpDAO（ケルプDAO）のブリッジ攻撃から約5週間が経過した現在も、分散型金融（DeFi）全体の総預入資産（TVL）の下落が続いており、カテゴリ合計で約14%減少した。

DefiLlamaのデータによれば、TVLは4月中旬の約1720億ドルから1480億ドル程度へと落ち込んでいる。

4月18日、北朝鮮のラザルスグループ（Lazarus Group）と関係するとされる攻撃者が、KelpDAOのLayerZero（レイヤーゼロ）ブリッジを悪用し、約2億9200万ドル（11万6500枚のrsETH）を不正に流出させた。

今回の攻撃はスマートコントラクトの脆弱性ではなく、オフチェーンインフラへの侵害を起点としており、内部RPCノードを操作して外部バリデータを圧倒。

単一障害点となっていた検証システムに虚偽データを送り込み、送信元チェーンでの架空のバーンを誘発することで、送信先チェーンから資金を引き出すという高度な手口が用いられた。

分散型貸付プロトコルのAaveは5月7日、Kelp DAO攻撃者のrsETHポジションを清算したと発表した。DeFi United主導の救済計画に基づき、確保された約3.2億ドルの資金を用いて被害を受けたユーザーへの補償と市場の安定化が進められている。

カテゴリ別では、DeFiで最大規模を誇る貸し出し（Lending）分野の下落が最も深刻で、約530億ドルから400億ドルへと縮小した。リキッドリステーキングプロトコルでも顕著な資産流出が確認されている。

流出がすでに5週間以上続いているという事実は、特定プロトコルへの技術的な再評価にとどまらず、マージナルキャピタル（限界資本）の広範な撤退が起きていることを示している。

エクスプロイト後に資金を引き揚げたユーザーの多くは戻っておらず、インフラへの高い信頼が揺らいだ際に、リスク選好がセクター全体で低下するというパターンと一致している。

今回のKelpDAO攻撃は、DeFiにおける脅威の変化を示す重要な事例となった。スマートコントラクトのセキュリティが向上する一方で、オフチェーンインフラが新たな攻撃対象となっており、既存の監視フレームワークはいまだ追いついていない状況だ。

JPモルガンのアナリストも、「DeFiにおけるセキュリティインシデントの頻発とTVLの停滞が、機関投資家の参入意欲を引き続き抑制している」と指摘し、ユーザーがUSDTなどのステーブルコインへ退避する動きが加速していると分析した。

今回の事案は、DeFiエコシステムが直面するインフラリスクの深刻さを改めて浮き彫りにした。スマートコントラクト監査が標準化される中、オフチェーン検証基盤やバリデータ構成の堅牢性がプロトコルの安全性を左右する新たな焦点として浮上している。