#KelpDAOBridgeHacked

‍#Gate13thAnniversaryLive
KelpDAOのZROをバックにしたブリッジは2026年4月18日にハッキングされ、20以上のチェーンにわたって約2億9200万〜2億9400万ドル相当のコインが盗まれました；これは2026年最大のDeFi攻撃となりました。この攻撃は、1つの侵害されたZROバリデーターを利用して行われ、Aave、Arbitrumなどのプロトコルが即座に凍結されました。

基本情報

攻撃日時：2026年4月18日、UTC約17:35

盗まれた資金：約116,500コイン (~2億9200万〜2億9400万ドル)、流通供給量の約18%

攻撃手法：侵害された1対1の分散型バリデータネットワーク (DVN)を介した偽のZROクロスチェーンメッセージ

影響を受けたプロトコル：Aave、SparkLend、Fluid、Arbitrum、Lido、Ethena、Compound、Euler

即時の影響：

AaveはV3とV4を凍結し、約1億7700万〜1億9600万ドルの不良債権リスクに直面。

Arbitrumはハッカーのウォレットに関連付けられた30,766 ETH (~$100 百万)を凍結。

ZROは24時間で22%以上下落。

AAVEトークンの価格は約20%下落し、92.06ドルとなった。

市場への影響

イーサリアム (ETH)：攻撃直後に2,300ドルまで下落し、予測市場では完全に織り込まれた。

ビットコイン (BTC)：リスク回避により、4月末までに60,000ドルに達する予測契約の確率は22%に上昇。

DeFi流動性：パニックにより約 $9 十億$100 がAaveから引き出され、ブリッジの担保安全性に対するシステム全体の不安を示す。

責任と帰属

疑わしい攻撃者：北朝鮮のラザルスグループで、高度な偽造技術を使用。

KelpDAOの立場：ZROのインフラ、特に侵害されたRPCノードと安全性の低い1対1のDVNセットアップを非難。Kelpは自社のコントラクトが直接悪用されていないと主張。

ZROの対応：バリデータ設定の欠陥を認め、KelpDAOと共に是正措置に取り組んでいる。

対策と今後の方針

緊急凍結：KelpDAOは46分以内にイーサリアムとL2間の盗難コインの送金を停止。

ブロックされたウォレット：悪用されたアドレスをブラックリストに登録し、SEAL 911というセキュリティホットラインを導入。

ガバナンスの決定：Arbitrum DAOは(百万ドル相当の凍結されたETHの運命について投票を行う。

今後の修正：クロスチェーンメッセージングにおける単一ポイントの故障を防ぐため、複数のバリデータDVNセットアップの導入が呼びかけられている。

リスクと教訓

ブリッジの脆弱性はDeFiにおける最大のシステムリスクの一つ。

高額なプロトコルには単一バリデータセットアップは許容されず、冗長性が不可欠。

担保の拡散：侵害された資産を担保に使用する )例：Aave$ZRO では、被害が複数のプラットフォームに拡散する可能性。

コミュニティの信頼：攻撃前に15億7000万ドルの総ロック価値を持っていたKelpDAOは信用に傷がつき、回復には透明性のある修正の実施が必要となる。