#KelpDAOBridgeHacked

KELPDAOブリッジハック：$292 百万のクロスチェーン災害がDeFiのアキレス腱を露呈

想像してみてください、土曜日の午後に目覚めて、ほぼ$300 百万が消え去ったことに気づくのです—複雑なスマートコントラクトの脆弱性によるのではなく、嘘のメッセージによって。2026年4月18日に実際に起こったことです、KelpDAOのクロスチェーンブリッジが今年最大のDeFiハックの被害者となり、攻撃者はわずか46分で116,500 rsETH（約$292 百万相当）を吸い上げ、分散型金融エコシステム全体に衝撃を与え、ラップドイーサ（Wrapped Ether）が20以上の異なるブロックチェーンに散らばったままになりました。この攻撃は単に巧妙だっただけでなく、手術のように正確でした。後に北朝鮮の悪名高いラザルスグループに帰属された犯行グループは、Tornado Cashを通じて資金提供された7つの新しいウォレットを準備するために8〜10時間を費やし、クロスチェーンの悪用の名人芸の舞台を整えました。約17:35 UTCに、彼らはKelpDAOのLayerZeroを基盤としたブリッジを攻撃しました。このブリッジは危険なほど中央集権的な1-of-1 DVN（分散型検証者ネットワーク）(構成に依存しており、これは攻撃者が明確に特定した単一の失敗点でした。LayerZeroのRPCノード2つを侵害し、3つ目をDDoS攻撃してフェイルオーバーを強制し、汚染されたインフラに切り替え、攻撃者は偽造されたクロスチェーンメッセージを注入しました。これにより、ブリッジは正当なバーン（燃焼）がソースチェーンで行われたと誤認し、コントラクトはEthereumの準備金から担保なしのrsETHを直接攻撃者の管理するウォレットに解放しました。このエクスプロイトの天才性は、コードを破ることではなく、クロスチェーンアーキテクチャ全体が依存していた信頼の前提を操作した点にあります。最初の流出からわず6分後には、盗まれたrsETHはすでにDeFiの景観全体で洗浄されており、Aave V3とV4、Compound、Euler、Morphoに担保として預けられ、約)百万のETHとWETHを借りている状態でした。誰も反応できないうちに、感染は即座に激しく拡大しました。Aaveは数時間以内にrsETH市場を凍結し、潜在的な不良債権の推定額は$236 百万から$123 百万と示され、AAVEトークンは23％急落、主要市場は100％の利用率に達し、パニックに陥ったユーザーが引き出しを急ぎました。しかし、ここでの本当の物語は盗難だけではなく、その後の責任追及のゲームです。LayerZeroは自らのプロトコルにバグはないと主張し、KelpDAOの1-of-1構成を犯人と指摘しました。一方、KelpDAOは反論し、1-of-1は2024年1月以降LayerZeroの標準設定であり、自身のRPCインフラも侵害されたと述べ、約40％のプロトコルが同様の構成を使用していることを指摘しました。データは冷徹な証拠を示しています。Dune Analyticsによると、約2,665のLayerZero OAppsのうち47％が1-of-1構成を採用しており、何千ものプロトコルが同様のタイムボムの上に座っている可能性があります。この影響はKelpDAOを超え、DeFiのTVLは2週間で$230 百万以上流出し、 incidentの48時間以内にEthereumやL2から$600 億に達する資金が逃げ出しました。暗号コミュニティは不快な真実に直面しました—クロスチェーンブリッジはDeFiの最も弱いリンクであり、スマートコントラクトのバグではなく、RPCの毒殺のようなインフラリスクが原因であることを。今回の攻撃は、ブリッジのセキュリティに対するパラダイムシフトを示しています。それはコードの脆弱性ではなく、運用上のセキュリティの失敗であり、クロスチェーンの相互運用性の世界では、メッセージ検証層は最も中央集権的なコンポーネントと同じくらい強固でなければならないという教訓です。ラザルスグループの手法は、彼らの過去の暗号窃盗と似ており、忍耐強い侵入、信頼操作、検出抑制を組み合わせた破壊的なパッケージとなり、従来のセキュリティ前提をすべて突破しました。日常のDeFiユーザーにとって、教訓は明白で即時的です：資産をチェーン間でブリッジするとき、あなたはスマートコントラクトだけを信頼しているのではなく、検証インフラ全体—RPCノード、DVN構成、運用セキュリティ—を信頼しているのです。KelpDAOの対応は、コントラクトの一時停止、エクスプロイターのブラックリスト化、追跡のための追加$8 百万の資金ブロックを含みましたが、信頼へのダメージはすでに避けられませんでした。業界はこの警鐘を受けて、多重DVN構成や多様な検証ネットワークへの移行を加速させており、LayerZeroは1-of-1設定のサポートを完全に停止すると発表しています。しかし、より広い疑問は未解決のままです。もしLayerZeroのアプリケーションのほぼ半数が脆弱な構成を使用しているとすれば、他に何千ものKelpDAOが狙われるのを待っているのでしょうか？$10 百万の問題は、盗まれた資金の回収だけではなく、DeFiが次のラザルスグループの襲来前にインフラの未成熟さを克服できるかどうかにかかっています。