ARBITRUMセキュリティ評議会、KELP DAOの脆弱性に関連するETH30,766を凍結

前例のない緊急介入により、Arbitrumのセキュリティ評議会は、最近のKelp DAOの脆弱性に直接関連する約30,766 ETH（およそ$71 百万相当）を成功裏に凍結しました。これは、Arbitrumの緊急ArbOS凍結メカニズムの初めての展開であり、セキュリティ評議会メンバーによる9対12のマルチシグ投票を通じて実行されました。この行動はLayer 2のガバナンス能力における重要なマイルストーンを示し、セキュリティと分散化のバランスについて暗号通貨コミュニティ内で激しい議論を巻き起こしています。凍結された資金は現在、中間ウォレットに保管されており、さらなるArbitrumガバナンスの決定を経て、最終的な処分についてコミュニティ投票を待っています。

KELP DAOの脆弱性：経緯と展開

Kelp DAOの脆弱性は、2026年4月18日から19日にかけて発生し、その年の最大級のDeFiハッキングの一つとなりました。攻撃者は、Kelp DAOのLayerZeroを利用したクロスチェーンブリッジを標的にし、プロトコルの検証メカニズムの重大な脆弱性を悪用しました。この脆弱性により、攻撃者は約116,500 rsETH（(預かりETH)）をミントし、約2億9200万～2億9300万ドルの価値があると推定され、rsETH総供給量の約18％に相当します。その後、攻撃者はAaveからリアルWETHを$200 百万以上引き出し、市場の反応を待たずに資金を奪取し、レンディングプロトコルに数億ドルの不良債務を残しました。攻撃の高度な性質と盗難の規模は、セキュリティ研究者や法執行機関の注目を即座に集めました。

北朝鮮ハッカーへの帰属

予備調査により、Kelp DAOの脆弱性は北朝鮮の国家支援ハッカーグループ、特にラザルスグループとTraderTraitorに帰属されました。これらのグループは、暗号通貨プロトコルを標的とする攻撃の高度化を進めており、2025年だけで10億ドル以上の暗号資産を盗んでいます。2017年以降、北朝鮮のハッカーによる暗号資産の総盗難額は約10億ドルと推定されており、彼らはデジタル資産分野で最も多産かつ危険な脅威の一つとなっています。北朝鮮への帰属は、事件に地政学的な側面を付加し、緊急凍結措置の意思決定にも影響を与えた可能性があります。

ARBITRUMの凍結メカニズムの実動

Arbitrumセキュリティ評議会の介入は、プラットフォームの緊急ArbOS凍結機能の実用例として初めてのものです。評議会は、9対12のマルチシグ投票を通じて凍結を実行し、評議会メンバー間の調整の必要性を示しました。この行動は、法執行機関と連携して行われ、攻撃者の身元や資金の犯罪性についての意見も取り入れられました。重要なのは、他のArbitrumユーザーや分散型アプリケーションに影響を与えることなく、正確に実行された点です。30,766 ETHは、ガバナンス管理下の中間ウォレットに移され、攻撃者の管理からは除外されつつも、被害者への回収の可能性を残しています。

攻撃経路の技術的詳細

最初の脆弱性の後、攻撃者はEthereumメインネットから約75,701 ETH（$2 百万相当）をブリッジアウトしました。その一部は凍結前にArbitrumを経由して移動されました。オンチェーン分析によると、セキュリティ評議会の介入直前に、攻撃者はArbitrum上で30,766 ETHを燃やしたとされ、その価値はOnchain Labsの報告によると約7094万ドルに相当します。凍結後、攻撃者は残りの約8,000万～1億7500万ドルをTHORChainを通じて洗浄し、盗まれた資産をビットコインやその他の暗号通貨に変換して追跡を困難にしました。このマネーロンダリング活動は、攻撃者の高度な運用セキュリティと、法執行機関が盗難資産の追跡と回収に直面する課題を示しています。

根本原因：1-of-1検証者の脆弱性

Kelp DAOの脆弱性は、クロスチェーンブリッジのセキュリティにおける重要な構造的弱点を露呈しました。プロトコルは、「1-of-1検証者構成」に依存して命令を検証しており、単一の分散型検証者ネットワーク（DVN）が信頼と失敗の一極点となっていました。LayerZeroは、以前、Kelp DAOに対し、この単一DVN構成からより堅牢なマルチ検証者設定への移行を推奨していました。しかし、Kelp DAOは、LayerZeroのドキュメントに記載された構成に従って運用していると主張し、インフラの脆弱性についてLayerZeroを非難しました。この論争は、DeFiエコシステムにおける責任の複雑さと、相互接続されたプロトコル間で適切なセキュリティ設定を確保する難しさを浮き彫りにしています。

AAVEとDeFiエコシステムへの影響

Kelp DAOの脆弱性は、DeFi全体、特に最大級のレンディングプロトコルの一つであるAaveに深刻な影響を及ぼしました。WETHの盗難額は$6 百万を超え、Aaveは多額の不良債務を抱えることになり、評価方法によっては$175 百万から(百万の範囲と推定されています。この不良債務は、Aaveの預金者にとって直接的な損失を意味し、資産の担保としてのセキュリティやリスク管理の実態について疑問を投げかけています。この事件は、クロスチェーンブリッジの継続的な脆弱性に対する再検討を促し、DeFiインフラにおける単一障害点の問題を浮き彫りにしています。

コミュニティの反応：中央集権化の議論

Arbitrumの凍結行動は、暗号通貨コミュニティを二分し、セキュリティ評議会の介入の適切性とその影響について激しい意見の対立を生んでいます。

賛成派の意見：
凍結行動を支持する者は、迅速なオンチェーン調整により被害者のために)百万以上を回収できた点を評価しています。多くのLayer 2ソリューションは、同様の管理能力を持ち、トップL2の約90％が類似のセキュリティ評議会構造やアップグレードメカニズムを備えていると指摘します。支持者は、国家支援の犯罪者と取引する場合、盗まれた資金の回収を優先すべきだと主張し、分散化の理念よりも被害者救済を重視すべきだと述べています。オンチェーンセキュリティの専門家Taylor Monahanは、この行動を「DeFiが北朝鮮の$70Mを“ラグ”した」と表現し、悪意ある行為者に対する勝利と位置付けました。

反対派の意見：
批評家は、この凍結はLayer 2ネットワークが真に信頼できるものや分散化されたものではないことを示していると主張し、一人のコメント者はこの行動を「ブロックチェーンのロゴを持つ銀行」に変えるものだと述べています。彼らは、緊急凍結機能の存在が、検閲耐性や不変性といったブロックチェーン技術の根本原則を損なうと懸念しています。将来的にこれらの権限が乱用され、正当なユーザーを対象にしたり、政治的目的で利用されたりする可能性も指摘されており、ガバナンス権限の範囲や分散化の維持についての議論が再燃しています。

ガバナンスと今後の展望

凍結された30,766 ETHは現在、ガバナンス管理下のウォレットに保管されており、その最終的な処遇はArbitrum DAOの決定に委ねられています。コミュニティは、これらの資金を被害者への再配布のためにKelp DAOに返還する、流通から焼却する、または被害者の請求権を確立するなどの対応を検討しています。このガバナンスの過程は、分散型コミュニティが盗難資金の回収にどう対処するかの前例となるため、注目されるでしょう。また、今回の事件は、Layer 2ネットワークにおけるセキュリティ評議会の役割や、その緊急権限に追加の制約や透明性の要件を設ける必要性についても問いかけています。

より広い背景：2026年4月の脆弱性波

Kelp DAOの脆弱性は、DeFiのセキュリティにとって特に厳しい時期に発生し、2026年4月には複数のプロトコルで1百万ドルを超える脆弱性被害が報告されました。月初には、暗号資産取引所のDriftがハッキングされ、攻撃者に約$200 百万が流出しました。この攻撃の波は、セキュリティ基準の向上、ブリッジのアーキテクチャ改善、より堅牢な検証メカニズムの導入を求める声を高めています。特に国家支援のグループを含む攻撃者の高度化は、業界がこれらの脅威に対応するためのセキュリティ実践の進化を迫っています。

教訓と今後の展望

ArbitrumによるKelp DAOハッカーETHの凍結は、暗号通貨業界にいくつかの重要な教訓をもたらします。第一に、緊急介入メカニズムは盗難資金の回収に有効な手段となり得る一方、その存在は分散化の理念と根本的な対立を生むことを示しています。第二に、クロスチェーンブリッジの脆弱性と、より堅牢な検証アーキテクチャの必要性を浮き彫りにしています。第三に、ブロックチェーンネットワークと法執行機関の連携の重要性を示し、犯罪活動への対処を促しています。最後に、回収資金の取り扱いや責任の所在を明確にする枠組みの必要性を強調しています。業界が成熟を続ける中で、セキュリティと分散化のバランスを取ることが、最も困難で重要な課題の一つとなり続けるでしょう。

原文表示