#rsETHAttackUpdate

rsETH攻撃の最新情報 — 完全な経緯をDeFiが知るべき話

分散型金融の歴史上最も重要なエクスプロイトの一つがリアルタイムで展開されてから六日が経過した。あなたが4月18日の週末にAaveのポジションやrsETHの担保、またはDeFiポートフォリオが混乱したのを見ていたなら、それはあなたの想像ではなかった。何か本当に深刻なことが起きており、その後の展開は今日、2026年4月24日現在も積極的に進行中だ。この物語は、最初の侵害から現在進行中の回復努力までの一連の出来事を、ノイズを排除して明確かつ正直に解説する価値がある。

2026年4月18日に実際に何が起きたのか

2026年4月18日17:35 UTC、イーサリアムブロック24,908,285にて、攻撃者がKelpのLayerZero V2 Unichainを通じてEthereumのrsETHルートを悪用した。

なぜこれが可能だったのか理解するには、そのブリッジの設定に関する重要な詳細を理解する必要がある。

Kelp DAOは、最も脆弱なセキュリティモデル — 1対1の分散型検証者ネットワーク設定 — での統合を構築した。この設定により、LayerZero Labsが運営する単一のバリデータノードに、クロスチェーンメッセージの承認権限が完全に付与された。

実務的には、もし誰かがその単一のバリデータを侵害または偽装できれば、ブリッジ全体が危険にさらされることを意味していた。冗長性はなく、二重のチェックもなかった。たった一つの失敗点が、数億ドル規模の資産を守っていた。

攻撃者はLayerZeroのクロスチェーンメッセージングインフラを操作し、偽の指示を正当なものとして扱わせ、Kelpのブリッジから盗まれたトークンを攻撃者の管理するウォレットにリリースさせた。侵害は17:35 UTCに発生し、Kelpの緊急マルチシグは46分後にコアコントラクトを凍結した。この46分の間に、攻撃者が必要とした時間だった。

Ethereum側のブリッジを通じて約116,500 rsETHトークンが解放され、起点ネットワーク上でバーンイベントは発生しなかった。これが攻撃を非常に破壊的にした核心部分だ — Ethereum側でリリースされたトークンは、どこにも正当な担保が存在しない偽造品だったのだ。

攻撃者は偽トークンを実際の資金に変換した

これがこの攻撃の洗練さを明らかにする部分だ。裏付けのないトークンを単に発行するだけなら簡単だが、それを誰にも気づかれる前に実質的な価値に変えるのは別次元の話だ。

未特定の攻撃者はクロスチェーンメッセージングシステムを操作し、116,500の裏付けのないrsETHトークンを成功裏にミントした。これらのうち約90,000はAaveプラットフォームで担保として使われ、攻撃者は約1億9千万ドルのEthereumやその他資産を借り入れた。

総額は約2億9,200万ドルに達し、rsETHの流通供給の約18％を占め、2026年の最大の分散型金融エクスプロイトとなった。

残りの盗まれた資金はThorchainを通じてビットコインにブリッジされ、回収は格段に複雑になった。

その後に広がった感染拡大

このエクスプロイトの直接的な影響は、KelpDAOやAaveにとどまらなかった。DeFiプロトコルの相互接続性により、衝撃波はほぼ瞬時にエコシステム全体に広がった。

AaveはV3とV4のrsETHレンディング市場を凍結し、AAVEのトークンは約10％下落した。SparkLendやFluidも同様に凍結された。Lido FinanceはrsETHに露出したearnETHの預入を一時停止しつつ、stETHとwstETHは影響を受けていないことを確認した。

ユーザーの反応は即座かつ激しかった。攻撃後48時間でAaveは84.5億ドルの預金を失い、DeFiプラットフォーム全体のロックされた総価値は132.1億ドルも減少した。

攻撃者は裏付けのないrsETHをAave上でWETHやステーブルコインに交換し、KelpDAOのインフラの脆弱性を悪用した。AaveのaETHrsETHコントラクトは流通しているrsETHの約83％を保持しており、貸出プロトコルへのエクスポージャーを大きく集中させていた。

Aaveへの被害の規模

この事件の分析によると、Aaveは流出したトークンに関連して1億2千万ドルから2億3千万ドルの潜在的な不良債権に直面していたと推定され、72時間以内に総ロック資産は33％減少した。

総損失額は112,000以上のrsETHと見積もられ、これが現在進行中のDeFi Unitedイニシアチブの核心的課題となっている。

4月18日18:52 UTCに、AaveガーディアンはrsETHとwrsETHの市場に即時凍結を開始した。

DeFi Unitedの対応

攻撃後の数日間で行われた対応は、DeFiエコシステム史上最も大規模な協調的反応の一つだ。

Aaveは、KelpDAOのエクスプロイトによる2億9,200万ドルの損失を受けて、rsETHの裏付けを安定させるために複数の暗号資産企業とともにDeFi Unitedイニシアチブを立ち上げた。EtherFi、Golem Foundation、Mantleなどの主要プレイヤーが資金と支援を提供している。

Lido Financeは最初に公に参加を表明し、最大2,500のステーキング済みETHを提案した。EtherFiは5,000 ETHを提案し、Aaveの創設者Stani Kulechovも個人的に5,000 ETHを誓約した。

Golem Foundationは1,000 ETHを寄付し、他の複数の支援者も回復努力に参加している。

Arbitrumのセキュリティ評議会は、攻撃に関連する30,766 ETHを凍結し、重要な早期回復の一歩となった。

DeFiの構造的脆弱性について明らかにしたこと

rsETHのエクスプロイトはスマートコントラクトの脆弱性ではなく、ブリッジの設定ミスだった。

1対1のDVN設定は、数億ドルの資産を守る単一の失敗点を生み出した。これが今、業界が直面すべき根本的な問題だ。

クロスチェーンブリッジは、DeFiで最も頻繁に攻撃される攻撃対象の一つであり続けている。

現状はどうなっているのか

2026年4月24日現在、rsETHの市場は引き続き停止中だ。回復作業はDeFi Unitedの下で進行中だが、資金のギャップは未だ10万ETH超に達している。

一部資産は凍結されたが、Thorchainを通じてビットコインに移動した資産の大部分は未回収のままだ。

rsETH市場の再開に関する確定したスケジュールは存在しない。

これがDeFiの未来に何を意味するのか

これはDeFiの信頼性にとって深刻な打撃だった。2億9,200万ドルのエクスプロイトと大規模な流動性の退出は、小さな出来事ではない。

しかし、協調的な対応はエコシステムの成熟度の高まりを示している。複数のプロトコルが損失をカバーしようとする動きは、共同責任へのシフトを示している。

この攻撃から得られる教訓は、今後のブリッジのセキュリティとリスク管理のあり方に影響を与えるだろう。

公式のアップデートに注意を払い、情報を常に把握しておこう。