2.92億ドルのKelpDAOクロスチェーンブリッジが盗難に：誰がその代償を支払うべきか

null

オリジナル著者：易浩天弁護士

2026年4月18日、攻撃者は46分間にKelpDAOのクロスチェーンブリッジから116,500枚のrsETHを盗み出し、約29億2千万ドルの価値を得た。これは2026年以降最大のDeFiセキュリティ事件である。盗まれたトークンは直ちにAave V3などの貸付プロトコルに担保として預けられ、約23億6千万ドルのETHを借り出し、Aaveプラットフォーム上で1億7700万ドルから2億ドルの不良債権を生み出し、九つ以上のDeFiプロトコルに連鎖的な影響を及ぼし、Aaveの総ロック額（TVL、Total Value Locked）は一夜にして約60億ドル蒸発した。

事件の経緯は広く報道されているため、ここでは繰り返さない。実際、筆者自身も数万ドルを引き出せない状態にある…研究をしているときは非常に動機付けられる。この記事で議論したいのは、別の問題である：民事法の観点から、誰が責任を負うべきか？被害者は本当に賠償を受けられるのか？

答えは、暗号コミュニティの最初の相互非難よりもはるかに複雑である。適用される法律枠組みの体系的分析を経て、私の見解は次の通り：KelpDAOとLayerZero Labsは共同過失責任（concurrent liability）を負う。過失の比率はおおよそKelpDAO 60% / LayerZero 40%；また、両方のプロトコルのサービス条項にある責任上限条項はほぼ執行不能と確定できる。

核心的責任問題：二つの失敗、一度の攻撃

この攻撃に関する議論は常に同じ論点から始まる：これはKelpDAOの過失（1-of-1のDVN設定を選択したこと）なのか、それともLayerZeroの過失（運営するDVNのRPCインフラが毒されたこと）なのか？

答えは：両者とも責任を負う。

（一）KelpDAOの誤りは何か

LayerZeroのクロスチェーンメッセージプロトコルは、分散型検証者ネットワーク（DVN、Decentralized Verifier Network）を用いて、あるブロックチェーンから別のブロックチェーンへ送信されるメッセージの真偽を検証する。このプロトコルは非常に柔軟に設計されており、LayerZero上に展開される各アプリケーションは、どれだけのDVNの合意を必要とするかを自ら選択できる。LayerZeroの公式ドキュメントは、少なくとも2-of-3の構成を推奨しており、少なくとも3つの独立した検証者のうち2つが確認した後にメッセージを受け入れるべきだと示している。

しかし、KelpDAOは最低限の設定を選択した：1-of-1。検証者は一人だけ。ゼロ・フォールト。

これにより、誰でもこの唯一の検証者を攻撃、欺瞞、または操ることができれば、任意のクロスチェーンメッセージを偽造できる。例えば、KelpDAOの橋が攻撃者の管理するアドレスにrsETHの全預かりを解放するメッセージを偽造することも可能だった。そして、実際にそうなった。

この事態は非常に荒唐無稽である：KelpDAOの橋は20以上のブロックチェーンネットワーク上で約16億ドルの価値をロックしている。この資産を保護するために、単一点故障（single point of failure）を採用した設計は、銀行の金庫を一つの南京錠で守るようなものであり、製造者は少なくとも三つの錠を用いるべきだと明確に推奨している。

伝統的な不法行為法（tort law）の枠組みでは、この分析は非常に直接的である。『不法行為の再述（第2版）』（Restatement (Second) of Torts）は、過失（negligence）を、「合理的な注意義務を怠り、不合理なリスクから他者を保護するために法律が定めた注意基準を下回る行為」と定義している。[1] 専門的な行為者にとって、数十億ドルのユーザー資産を管理するプロトコル運営者は間違いなくこの範疇に入り、注意義務の基準は、その業界の通常の技能と知識の水準に引き上げられる。[2]

最も古典的なリスク・効用分析の枠組みは、米国連邦第2巡回控訴裁判所のレーニッド・ハンド判事（Judge Learned Hand）が提唱したものである：もし予防措置のコスト（B）が、損害の確率（P）と損害の規模（L）の積よりも低い場合、予防措置を怠ることは過失とみなされる。すなわち、B < P×Lのとき、予防措置を取らないのは過失である。

本件では、この式に疑問の余地はない：

P（確率）：クロスチェーン橋の攻撃はDeFiにおいて最も一般的で、損失も最大の攻撃タイプの一つである。Wormhole（3.2億ドル、2022年）、Ronin（6.25億ドル、2022年）、Nomad（1.9億ドル、2022年）、およびDrift Protocol（2.85億ドル、2026年4月1日、今回の攻撃の17日前）などが示す通り、ブリッジの安全性は既知の、活発な脅威である。

L（損害規模）：直接損失は2.92億ドルにのぼり、その後流れるように下流のプロトコルに数億ドルの連鎖的な不良債権を生み出している。

B（予防コスト）：橋のDVN設定を1-of-1から2-of-3に変更すること。追加コストは、わずかな検証遅延（数秒）とDVNの費用（保護される資産価値に比して無視できる程度）。

合理的なプロトコル運営者であれば、こうした規模の資産に対して1-of-1設定を用いることはあり得ない。予防コストは微小でありながら、予想される損害は壊滅的である。

業界の同行の実践も重要な参照となる。SparkLendはrsETHの貸出価値比（LTV）を72%、Fluidは約75%に設定しており、いずれもAaveの93%を大きく下回る。この保守的な態度は、rsETHの基盤となるブリッジリスクに対する業界全体の認識を反映している可能性が高い。もし貸付・借入のプロトコルですらrsETHのブリッジリスクに警戒しているなら、ブリッジ自体の運営者であるKelpDAOは、より高い安全基準を負うべきだ。しかし、実際には逆である：ブリッジの運営側は最低限の安全設定を選択した。

もう一つ重要な弁護のポイントは、オンチェーンの透明性に関する抗弁である。1-of-1のDVN設定は公開されたオンチェーンデータであり、技術的能力のあるユーザーはLayerZero EndpointV2コントラクトをクエリしてブリッジの安全パラメータを検証できる。KelpDAOは、設定が公開されている以上、資産を預ける前にユーザーがブリッジの安全性を評価する機会（または責任）を持つと主張する可能性がある。これは事実上のリスク自己負担の抗弁（assumption of risk）を構成し、第二部で分析する契約上のサービス条項の放棄（waiver）とは異なる。この抗弁の強さは、裁判所がDeFiユーザーの「合理性」基準をどう評価するかに依存する。普通のDeFiユーザーが資産預入前にブリッジのDVN設定を検証すべきと期待できるのか？機関投資家や高い技術能力を持つ「巨額の投資家」（whale）には有効かもしれないが、一般の個人投資家には説得力が大きく減じる。

（二）LayerZeroの誤りは何か

しかし、KelpDAOの設定選択だけでは損失を引き起こせない。この攻撃は、攻撃者がLayerZeroのDVNを欺き、未発生の取引に対して検証を署名させる必要がある。ここで、LayerZeroの法的リスクが明確になる。

SlowMist創始者のCos（余弦）が詳細に分析したところによると、[3]今回の攻撃はDVNの秘密鍵の突破やLayerZeroのプロトコルロジックの利用ではなく、DVNの上流データソースであるRPCノードを標的としたものである。

攻撃は五つのステップで実行された：

1. 攻撃者はLayerZeroのDVNが使用するRPCノードのリストを入手。

2. 攻撃者は二つの独立したRPCクラスターを突破し、正規のop-gethバイナリをマルウェア入りのバージョンに置き換え。

3. マルウェア化されたバイナリは選択的スプーフィング（selective spoofing）を行い、DVNのIPアドレスからのリクエストにのみ偽のデータを返す。その他のIPアドレス、LayerZeroの監視サービスも含めて、実データを受け取る。このIPベースの選択的応答は、投毒行為を通常の監視から完全に隠す。

4. 攻撃者は未突破のRPCノードに対してDDoS攻撃を仕掛け、DVNを故障させ、投毒されたノードにフェイルオーバーさせる。

5. 偽造検証が完了した後、悪意のあるバイナリは自己破壊し、すべてのログを消去して証拠を抹消。

この点は非常に重要：LayerZeroはこのDVNを運営している。これはKelpDAOが自ら展開した受動的なソフトウェアライブラリではない。LayerZeroは積極的に検証インフラを運用し、RPC提供者を選定し、フェイルオーバーのロジックを設定し、検証証明に署名している。DVNが投毒されたRPCノードから偽のチェーン状態を読み取り、存在しない取引に署名する場合、それはLayerZeroのインフラの失敗である。

また、この攻撃ベクトルは新しいものではない。Cosも指摘している通り：「RPC投毒攻撃は古典的な手法であり、取引所は何年も前に経験している。」[4]

《不法行為の再述（第2版）》によると、行為者は、その行為が合理的な人にとって認識可能なリスクを認識し、それを回避すべき義務を怠った場合に責任を負う。[5]RPC投毒は、ブロックチェーンセキュリティコミュニティにおいて証拠のある攻撃カテゴリーである。数十億ドルの資産を守るためにDVNを運用する合理的なインフラ提供者は、すでに対策を講じているはずである：[6]a(複数の独立した提供者と地理的に分散したRPCソースを用いる；)b(RPCノード間でクロス検証を行い、データの不一致を検出；)c(IPベースの選択的応答パターンを監視；)d(故障時のフェイルオーバーのロジックを強化し、DDoS攻撃時に信頼できないノードに退避しない；)e(DVN検証リクエストに対して異常検知を実施（例：大規模な送金額をマーク）。

さらに、非委任義務原則（non-delegable duty doctrine）も本件に適用される。『不法行為の再述（第2版）』によると、安全に関わる重要な機能は第三者に完全に委任できず、その義務を負う者は十分に履行させる責任を負う。)LayerZeroが高価値のクロスチェーン取引の検証インフラを提供すると称する場合、RPC提供者を独立の請負業者として指し示すだけでは責任を免れない。LayerZeroはこれらの提供者を選定し、フェイルオーバーの設定を行い、検証証明に署名している。責任は運営者に帰属する。

これを伝統的な法律概念に例えると、金融インフラの運営者の責任に似ている。SWIFT（国際銀行間金融通信協会）は、世界中の銀行間通信のためのメッセージ伝達インフラを提供している。もしSWIFTのメッセージ検証システムが破られ、虚偽の送金指示が実行された場合、SWIFTは「プロトコル自体に脆弱性がない」として免責されることはない。彼らは検証インフラを運営しており、その運営行為自体が、保護すべき価値に見合った注意義務を負っている。

LayerZeroの役割はこれに非常に類似している：単なるソフトウェアライセンス提供者ではなく、クロスチェーンメッセージ検証インフラの運営者である。

また、2026年4月1日に発生したDrift Protocolの2.85億ドルのクロスチェーン攻撃も考慮すべきだ。これはKelpDAOの攻撃からわずか17日後に起きている。具体的な攻撃ベクトルは異なる可能性もあるが（さらなる検証が必要）、この事例は、クロスチェーンブリッジインフラが高度な持続的脅威（APT）にさらされていることを明確に示している。LayerZeroは最大規模のクロスチェーンメッセージプロトコルの一つとして、すでに高度な警戒態勢にあるべきだ。Drift攻撃後にRPCインフラの安全対策を強化しなかったことは、過失の認定をさらに裏付ける。

LayerZeroの最も強力な弁護は、国家レベルの攻撃者の複雑さにある。今回の攻撃は、バイナリ置換、IPベースの選択的欺瞞、DDoSによる強制故障、事後の自己破壊を組み合わせたものであり、SolarWindsのサプライチェーン攻撃に近い異常な作戦規模を示す。『不法行為の再述（第2版）』第302B条によると、異常に高度な犯罪介入は、合理的な予防範囲を超えるリスクをもたらす。裁判所がこの攻撃の複雑さを、民間のインフラ提供者の合理的注意義務の範囲外と認めるなら、LayerZeroの過失責任は大きく軽減または免除される可能性がある。

しかし、これに対する反論もまた強力である。Cosも指摘している通り、RPC投毒、DDoS、バイナリ置換はすべて既知の技術であり、それらの組み合わせが新規であるわけではない。合理的なインフラ提供者は、これらの既知の脅威に対して防御策を講じる義務がある。たとえ、これらの脅威の正確な組み合わせを予見できなくとも。

（三）共同因果関係と60/40の過失分担

これは典型的な共同因果関係（concurrent causation）のケースである。KelpDAOの1-of-1設定とLayerZeroのRPCインフラの失敗は、攻撃成功の両方にとって必要条件である。どちらか一方を除けば、攻撃は失敗した。

もし、LayerZeroが2-of-3の独立したDVN（独立したRPCインフラを備えた）を採用していたら、攻撃者は複数の独立した検証経路を同時に突破しなければならず、攻撃のコストと複雑さは飛躍的に増大しただろう。

また、LayerZeroのDVNが投毒されたRPCデータによる欺瞞に遭わなかった場合、1-of-1の設定は正常に機能し、未承認のメッセージは検証されなかったはずだ。

『不法行為の再述（第2版）』によると、複数の原因が共同して単一の不可分な損害を生じさせた場合、それぞれの原因は「実質的要因」（substantial factor）とみなされ、各侵害者は責任を負う。[7]攻撃者の犯罪行為は因果関係を断ち切らない。なぜなら、単一点故障の橋攻撃は、多DVNの推奨策が想定する予見可能なリスクだからである。[8]

ニューヨーク州やカリフォルニア州の裁判所は、こうした事例において純粋比較過失制度（pure comparative fault）を採用している。[9]これにより、各被告の責任は過失の比率に応じて減少し、完全に免責されることはない。

では、過失の配分はどうなるか？私の評価は、KelpDAO 60% / LayerZero 40%である。理由は三つ：

第一に、KelpDAOは、LayerZeroが少なくとも2-of-3の設定を推奨しているにもかかわらず、あえて1-of-1を選択した。これはガバナンスの決定であり、LayerZeroの技術的制約ではない。より高い安全性を選択できたにもかかわらずそうしなかった。この積極的な選択は、比較過失の分析において重要な重みを持つ。

第二に、1-of-1の設定は攻撃の根本的前提である。これがなければ、攻撃者ははるかに困難な複数の検証経路を突破しなければならない。RPC投毒攻撃は、検証経路が一つだけだったため成功した。複数の独立したインフラを持つ多DVN設定は、防御の深さ（defense in depth）を生み出し、この攻撃を防ぎ得る。

第三に、しかしLayerZeroの責任はゼロではない。LayerZeroは、その運営するDVNのインフラを管理している。RPC投毒は既知の攻撃ベクトルであり、17日前のDrift Protocol攻撃は、クロスチェーンインフラが高度な持続的脅威にさらされていることを示している。LayerZeroの「プロトコルは破られていない」という弁護は技術的には正しいが、実態としては、運営インフラが損失の直接的な道具となっている事実を覆い隠している。

40%の配分は、運営インフラの失敗を認め、その上で、既知の脆弱性を持つアーキテクチャを用い、記録された攻撃カテゴリーに対する標準的対策を講じていなかったLayerZeroの過失を反映している。

サービス条項は彼らを救えるか？

KelpDAOとLayerZeroは、非常に積極的な責任制限条項（Terms of Service、“ToS”）を保持している。KelpDAOは、過去12か月の支払い額または200ドルのいずれか大きい額を責任上限と定めている。[10]LayerZeroの上限は50ドル。[11]両者とも、「現状のまま」（AS IS）免責条項と広範なリスク自己負担条項を含む。

これらの上限条項が有効であれば、前述の民事責任の分析は無意味となる。200ドルの上限は、2.92億ドルの損失に対して実質的に免責を意味する。

しかし、これらの条項は裁判所に支持されない可能性が高い。理由は次の通り。

（一）明らかに不公平な条項の排除原則

契約法は長年にわたり、あまりにも根本的に不公平な条項については執行を拒否できると認めている。『契約法重述（第二版）』（Restatement [12]Second( of Contracts）は、手続き的に不公平（procedural unconscionability）または実質的に不公平（substantive unconscionability）な条項を裁判所が無効とできると規定している。)

手続き的不公平は、交渉や拒絶の機会があったかどうかを検討する。DeFiのサービス条項は典型的な「アドヒージョン契約」（adhesion contract）であり、ほとんどのユーザーは、同意のために深く読むことなく、Acceptボタンをクリックしている。大多数のDeFiユーザーはMetaMaskなどのウォレットを通じてスマートコントラクトと直接やりとりし、契約のウェブサイトを閲覧したこともなく、多ページにわたる利用規約を読んだり同意したりしていない。

「クリック・ラップ」（clickwrap）と「ブラウズ・ラップ」（browsewrap）の法的区別は既に確立している。[13]Specht v. Netscape（Specht訴Netscape）[14]判決では、サービス条項のハイパーリンクが目立つ場所に表示されていなかった場合、ユーザーの同意とみなされないとされた。[15]Nguyen v. Barnes & Noble（Nguyen訴Barnes & Noble）[16]判決でも、ウェブサイトは明示的な通知と条項の閲覧機会を提供すべきとされた。単にウェブサイトにアクセスしただけでは不十分である。

DeFiのスマートコントラクトとのやりとりは、Specht判決の状況に近く、Meyer v. Uber（Meyer訴Uber）のような明示的な通知を伴う登録ページの判決とは異なる。オンチェーンのスマートコントラクトとのやりとりが、オフチェーンのウェブサイトの利用規約への同意を構成するかは、裁判例法上未だ明確な判断はないが、現行のbrowsewrap判例は、ユーザーの肯定的な行動がない場合には、条項の執行に否定的な傾向を示している。

実質的な不公平（substantive unconscionability）は、条項があまりに一方的で、「良心に反する」（shock the conscience）とみなされるかどうかを検討する。200ドルの責任上限は、2.92億ドルの損失に対して比率で約1,460,000分の1であり、典型的な実質的不公平の例である。LayerZeroの50ドル上限も同様に極端である。Williams v. Walker-Thomas Furniture（Williams訴Walker-Thomas Furniture）判決では、裁判所は、相手方に意味のある選択肢がない場合、「不合理に有利な条項」を執行しないとした。[17]契約法重述の注釈も、「交換の中の深刻な不均衡」（gross disparity in the exchange）が明らかに不公平の証拠であると指摘している。[18]

（二）重大な過失例外

たとえ裁判所がサービス条項の一般的な執行可能性を認めても、責任制限条項は重大な過失（gross negligence）や故意の不正行為（willful misconduct）を免除しない。これはニューヨーク州やデラウェア州の法律においても確立された原則である。

『契約法重述（第二版）』は、重大な過失や故意の侵害に対して免責を規定した条項は、公序良俗に反して無効とされると規定している。[19]ニューヨーク州最高裁判所も、免責条項は重大な過失をカバーしないと繰り返し判示している。[20]

KelpDAOの1-of-1 DVN設定は、重大な過失に該当するか？議論は強い。重大な過失は、既知の重大リスクに対して無謀に無視することを意味し、単なる注意義務の不足を超える。KelpDAOが10億ドル超の資産を守る橋に対し、最低安全設定を選択したことは、インフラ提供者の明示的な推奨に違反している。単一点故障のリスクは十分に記録されている。1-of-1（ゼロ・フォールト）と2-of-3（33%の容錯性）との間の差は、単なるリスクの差ではなく、本質的な差異である。

もし裁判所が、1-of-1の選択を単なる過失ではなく、重大な過失とみなすなら、200ドルの上限条項は無効となる。

重大な過失例外が重要な理由は、これがサービス条項の有効性の閾値を超える争点を回避できる点にある。たとえ裁判所がユーザーの同意を認め、$200の上限が一般的な商慣行において不合理でないと判断しても（例：機関投資家向け）、重大な過失の例外は独立して適用される。これは公共政策の原則（public policy doctrine）であり、当事者の合意に関係なく適用される。ニューヨーク法においても、これが何度も確認されている。[21]これにより、サービス条項の最も堅固な第二の攻撃線となる。

（三）証券法の否認権

さらに、最も強力な反論は、証券（security）に分類された場合、責任上限条項と仲裁条項が法的に無効となることである。[21]証券法（Securities Act）は、「本法のいかなる条項、規定、約束も、いかなる者もこれを放棄することを禁じる」と規定している。[22]《取引所法》（Exchange Act）も同様の反放棄条項を含む。これらの条項は契約による回避を許さず、連邦仲裁法（Federal Arbitration Act）より優先される。州の不公平原則の適用も受けない。これらは連邦法の強制的命令（mandatory command）である。

rsETHは証券の定義に合致するか？Howeyテストに基づく基本的な判定基準は次の通り：[23]1[24]金銭の投資、(2)共同事業への投資、(3)利益の期待、(4)その利益が他者の努力に由来すること。

rsETHはこれらすべての要件を満たす。ユーザーはETH（資金）をEigenLayer上の集合に預け、再ステーキング戦略を行う（共同事業）。rsETHは再ステーキング報酬から利益を生む（利益の期待）。しかし、再ステーキング戦略や運営者の選択、ブリッジのインフラは完全にKelpDAOチームが管理し、個人の所有者には何のコントロールもない（他者の努力に依存）。

複雑なのはRipple判決の分裂裁定（split holding）である。(2023年、ニューヨーク南部連邦地区裁判所は、直接の機関販売（証券に該当）と、公開市場でのプログラム的な二次販売（非証券と判断）を区別した。rsETHの取引の大半は二次市場で行われており、DEX交換やAaveへの預入れであり、KelpDAOから直接購入したわけではない。Rippleの枠組みでは、二次市場の購入者は「他者の努力」の要件を満たさない可能性がある。ただし、Ripple判決はあくまで地区裁判所の判決であり、控訴中であるため、流動性ステーキングトークンの適用性は未だ未確定である。

もし証券と認定されれば、全体の追償構造は根本的に変わる。サービス条項の上限は無効となり、仲裁条項も無効となる。直接購入者は個別の取消権（rescission rights）を得る。)KelpDAOのブリッジ安全性に関する声明に依存した購入者は、詐欺の請求（fraud claims）を提起できる。

この点で、米国法の強力なツールを解説しておきたい。仲裁条項や集団訴訟放棄条項（class action waiver）は、連邦最高裁判所の判例により、強力に保護されている。AT&T v. Concepcion（AT&T訴Concepcion）[25]やEpic Systems v. Lewis（Epic Systems訴Lewis）[26]において、連邦仲裁法は州法より優先され、集団訴訟放棄条項の執行を否定できると判示している。最高裁は、American Express v. Italian Colors Restaurant（American Express訴Italian Colors）判決で、「仲裁条項が法定権利の行使を阻止する場合に限り」無効とした。高額な訴訟コストだけでは、仲裁条項の無効理由にはならない。

したがって、LayerZeroの仲裁条項が有効なら、被害者は個別仲裁を余儀なくされ、各請求の上限は50ドルに過ぎず、実質的に責任の完全な免責と同じになる。合理的な原告は、50ドルの賠償を得るために個別仲裁を起こす動機はほとんどない。

しかし、証券法の反放棄条項（anti-waiver provisions）は、この障壁を突破する手段を提供する。rsETHが証券と認定された場合、連邦法は直接的に仲裁条項と集団訴訟放棄条項を無効とし、明示的な規定により、これらを排除する。これにより、仲裁や集団訴訟の制限は効力を失う。最も重要な「核武器」は、HoweyテストによりrsETHを証券と認定することである。これにより、上限条項は無効となり、個別の撤回権や詐欺請求も可能となる。

RPC提供者：補助役

インフラが毒されたRPCノードの提供者は、責任の連鎖において特殊な位置にある。彼らはDVNが依存する偽のデータを提供したからである。しかし、その責任はいくつかの要因により制限される。

『不法行為の再述（第二版）』によると、商業過程において情報を提供する供給者は、合理的注意義務を怠った場合に責任を負うが、その範囲は、供給者が意図的に到達させようとした、または到達させる意図のあった「限定された集団」（limited group）に限られる。[27]ニューヨーク州のCredit Alliance v. Arthur Andersen（Credit Alliance訴Arthur Andersen）判決は、供給者の責任範囲をさらに制限している。

本件では、RPC提供者の責任は、LayerZeroに対してのみ及ぶ可能性が高い。LayerZeroが直接選定し依存しているためである。下流のKelpDAOユーザーやrsETH保有者に対しては、責任は及ばないと