KelpDAO、Lazarus GroupのLayerZero攻撃で$290M を喪失

KelpDAOは、初期報道によれば、4月18日にLazarus Groupに関連する高度なセキュリティ侵害で$290 百万ドルの損失を被った。特に、TraderTraitorとして知られるある関係者によるものだった。攻撃はLayerZeroのインフラを標的にし、KelpDAOの検証システムにおける設定上の脆弱性を悪用した。David Schwartzは2026年4月20日に、「攻撃は想像していたよりはるかに巧妙で、KelpDAOの怠慢を利用してLayerZeroインフラを狙った」と述べた。

How the Attack Happened

攻撃は単純なエクスプロイトではなく、複数段階のアプローチを用いていた。攻撃者は最初に、LayerZeroの検証ネットワークで使われるRPCシステムを狙い、その後、通常の運用を妨害するためにDDoS攻撃を仕掛けた。システムがバックアップノードに切り替わったとき、攻撃者は決定的な目標を実行した。つまり、これらのバックアップノードはすでに侵害されており、実際には発生していない取引に対して誤ったシグナルを送信し、取引を確定させることができた。注目すべき点として、コアプロトコルやプライベートキーは破られなかった。代わりに、この攻撃はシステムの設定における弱点を悪用し、現代のサイバー脅威の巧妙さを示した。

Single Point of Failure as Root Cause

根本的な脆弱性は、KelpDAOの設定設計に起因していた。このプラットフォームは1-of-1の検証体制に依存しており、単一の検証者だけがバックアップの検証レイヤーなしで取引を確認していた。その単一システムが侵害されると、攻撃は二次的な防御なしで成功した。専門家は、これが明確な単一障害点（Single Point of Failure）を生み出していたと指摘した。LayerZeroは以前、複数の検証者を使うことを推奨しており、多層の検証体制なら攻撃を完全に防げた可能性があった。

Impact and Scope

損失は大きかったものの、被害は特定の領域にとどまった。報告によれば、侵害はKelpDAOのrsETHプロダクトにのみ影響し、他の資産やアプリケーションは影響を受けていない。LayerZeroは侵害されたシステムをすぐに置き換え、通常の運用を復旧した。チームは、盗まれた資金を追跡するために捜査当局と連携している。このインシデントは、高度なシステムにおける設定セキュリティに関して業界全体の懸念を引き起こした。

Implications for Crypto Security

この事件は、セキュリティがコードの強度だけでなく、システムの設定および運用・管理の実践にも依存することを示している。大規模な侵害に歴史的に結びつけられてきたサイバー集団であるLazarus Groupの関与は、彼らの手口が進化し続けているため、重大な懸念を加えている。今後、プロジェクトは冗長化やリスク制御の仕組みをますます優先する可能性がある。多層の検証は業界標準になり得る。KelpDAOの攻撃は、システムアーキテクチャにおけるたった1つの弱点でも、巨額の損失につながり得るという警告だ。暗号資産の領域が拡大するにつれ、セキュリティの実践はそれに比例して進化する必要がある。