20件のハック事件を振り返る：なぜオンチェーン資産は何度もハッカーによって盗まれるのか？

この記事を読むのに必要な時間は 46 分

本当に成熟した金融インフラストラクチャは、セキュリティを常に成長指標の後ろに置きません。

原文タイトル: 《20件のハッキング事件を振り返る：なぜ仮想通貨業界は常にハッキング被害に遭うのか？》
原著者: Changan，Biteye

2026 年 4 月、Kelp DAO が 2.92 億ドルを被害に遭いました。攻撃者は無担保トークンを使用して Aave から実物資産を借り、46 分で 2 億ドル超の不良債務を引き起こしました。

これは今年に起きた多くのハッキング事件の1つに過ぎません。Drift が 2.85 億ドル、Step Finance が約 3000 万ドル、Resolv Labs が約 2300 万ドルを被害に遭い、続く被害のニュースが続く中、業界はまだ反応する間もなく、次のハッキング事件が既に発生していました。

これらの事件の背後にはパターンがあるのでしょうか？ハッカーはプロトコルをどのように攻撃しているのでしょうか？

本文では、歴史的および最近の 20 件の代表的なハッキング事件を整理し、その中から答えを見つけようとしています。

私たちが整理した 20 件の事件に基づくと、3 つの明確なパターンが見られます:

· 技術的な欠陥のケースが多数を占めていますが、単一の損失は比較的限られています。権限およびソーシャルエンジニアリング攻撃のケース数は少ないですが、全体の損失額の大部分を占めています。

· 権限型攻撃の規模が拡大しています。20 件の事件の中で、最大の損失を被った 4 つの事件には朝鮮のハッカーの影響が見られます。

· 技術的な欠陥の戦場が移行しており、クロスチェーンブリッジは一度も安全ではありませんでした。

一、最も被害額の大きかった 10 プロジェクト

1. プロジェクト名: Bybit（被害額: $1.5B ｜時間: 2025 年 2 月）

被害の理由:

朝鮮のハッカーグループ Lazarus Group（FBI と ZachXBT による高い信頼度の帰属、コードネーム「TraderTraitor」作戦）が、フロントエンド UI のハイジャック + マルチシグ詐欺によって Safe Wallet のマルチシグメカニズムを破りました。

攻撃者は、Safe ウォレットのフロントエンドに悪意のある JavaScript コードをインジェクトしました。マルチシグ保有者（6 名の署名者）が通常のコールドウォレット送金を実行するとき、UI には正しい受信アドレスと金額が表示されますが、コールデータが改ざんされ、401,000 ETH が攻撃者のアドレスにリダイレクトされます。見たままに信じ、3/6 の署名者が取引を承認すると、資金は瞬時に失われます。

根本的な問題：マルチシグは人間とのインタラクションに依存しており、フロントエンドが独自に検証していないため、数学的なセキュリティが無効になっています。Tether は関連する USDT を数時間で凍結しましたが、Circle は 24 時間遅れて USDC を凍結し、損失を悪化させました。この出来事は、中央集権取引所に対するソーシャルエンジニアリングと UI 攻撃が致命的な脅威であることを露呈し、Safenet などの取引検証ネットワークの台頭を後押ししました。

この出来事は、Drift Protocol（2026 年 4 月、285 百万ドル）のパターンと非常に類似しています：ターゲット型ソーシャルエンジニアリングによる信頼構築、その後の UI/署名詐欺、この事件は、ハッカーがスマートコントラクトの脆弱性から「人間と機械の脆弱性」に転向したことを示しています。

続いて、Bybit は迅速に独自資金を投入してすべての損失を補償し、ユーザーがゼロの損失を被ることを保証し、現在プラットフォームは安定稼働しています。

2. プロジェクト名：Ronin Network（盗難額：624 百万ドル | 日時：2022 年 3 月）

盗難の理由：

朝鮮のハッカーグループ Lazarus Group は、ソーシャルエンジニアリングとバックドア手法を用いて、検証ノードの秘密鍵を完全に制御しました。

攻撃者は Sky Mavis の内部システムに侵入し、ガスフリーの RPC ノード内のバックドアを利用して、Sky Mavis のノード 4 つと Axie DAO のノード 1 つを含む 9 つの検証ノードのうち 5 つ（4 つの Sky Mavis ノードと 1 つの Axie DAO ノード）を制御しました。その後、彼らは 2 つの偽の出金取引を作成し、これにより 173,600 ETH と 25.5 百万 USDC を不正に引き出しました。

この事件の根本的な原因は、クロスチェーンブリッジの設計で、少数のノードが検証権限を高度に集中させていることです。9 つのノード中 5 つの署名が操作を完了する閾値は、ターゲット型のソーシャルエンジニアリング攻撃に対してほぼ無力であることを示しています。

3. プロジェクト名：Poly Network（盗難額：611 百万ドル | 日時：2021 年 8 月）

盗難の理由：

Poly Network の盗難の主な原因は、クロスチェーンスマートコントラクトの権限管理設計に深刻な脆弱性が存在していたことです。

攻撃者は EthCrossChainManager と EthCrossChainData の 2 つの高権限スマートコントラクト間の関係を利用し、実行可能な関数呼び出しを偽造しました。

EthCrossChainManager は Keeper 公開鍵を変更する権限を持っており、呼び出し時に使用される _method パラメータがユーザーによってカスタマイズ可能であるため、攻撃者はハッシュ衝突を構築して、元々高い権限のみが実行できるはずだった putCurEpochConPubKeyBytes 関数を呼び出すのに成功しました。

これにより、攻撃者は自身の公開鍵を合法的な管理者の公開鍵に置き換え、クロスチェーン資産の制御権を取得し、最終的に複数のチェーン上の資金を引き出しました。

4. Project Name: Wormhole (Stolen Amount: $326M | Date: February 2022)

Reason for the Theft:

通常、ユーザーが資産を1つのチェーンから別のチェーンに移動したい場合、システムはまずその資産が実際に入金されており、関連する署名が本物であることを確認する必要があります。このようにして、別のチェーン上に対応する資産が生成されます。

Wormhole の問題は、「署名を検証する」という段階にありました。 Wormhole のコードでは、交換が合法であるかどうかを確認するために、非推奨のかつ安全性が不十分な関数が使用されていました。この関数は元々、システムが前の署名検証を確実に完了したかどうかを確認するために使用されました。しかし、その検証は厳格ではなく、攻撃者が悪用できる余地を残していました。

攻撃者はこの脆弱性を悪用して、「すでに検証済み」と見えるセットを偽造し、システムを誤解させ、このクロスチェーン操作が実際に有効であるかのように見せかけました。要するに、システムは本来、「お金が実際に入金されたかどうか」を先に確認する必要がありましたが、検証手順がバイパスされたため、システムは攻撃者が提出した偽の証拠を直接信頼しました。

結果として、攻撃者は実際には十分な資産を入金せずに、大量の wETH を空から生成しました。これらの資産が生成された後、さらに引き出され、取引され、最終的に Wormhole は約 3.26 億ドルの損失を被りました。

5. Project Name: Drift Protocol (Stolen Amount: $285M | Date: April 2026)

Reason for the Theft:

DPRK ハッカー集団は、半年にわたる標的型侵入を経て、Solana Durable Nonce 予め署名した取引を組み合わせて攻撃を実行しました。

2025年秋から、攻撃者は量子取引会社を装い、国際的な複数の暗号会議でDriftの貢献者と直接信頼関係を構築し、Ecosystem Vaultに100万ドル以上の資金を投入して信頼性を築きました。信頼を得た後、攻撃者はSecurity Councilメンバーを誘導して見かけ上無害な複数の取引を事前に署名させました。SolanaのDurable Nonceメカニズムを利用して、権限移転命令がそこに隠されていました。その間、Driftはゼロレイテンシーマルチシグへの移行を完了し、事後の検出や介入のウィンドウを排除しました。

プロトコル管理権を取得した後、攻撃者はわずか数百ドルの実際の流動性を持つ偽のトークンCVTを登録し、自己取引を行い価格を歪め、その後5億のCVTを協定に担保として預け入れ、2.85億ドルのUSDC、SOL、ETHを借りました。全体の実行段階はわずか12分でした。

Drift公式とSEAL 911セキュリティチームは、この攻撃を「中高度の信頼度」として、DPRK関連組織（朝鮮のサポートを受けたハッカーグループ）に帰属させました。実行者は朝鮮国内ではなく、第三者の中間者によってオフラインで操作されました。

6. Project Name: WazirX (Stolen Amount: $235M | Time: July 2024)

Reason for Theft:

この攻撃の核心は、マルチシグウォレットが段階的に破壊され、最終的に悪意のあるスマートコントラクトに置き換えられたことにあります。

攻撃者はまず、フィッシングなどの手法を使い、一部の署名者から権限を取得しました（直接的な侵入と署名者を誘導することを含む）。その基盤の上で、攻撃者は偽のインターフェースを使用して他の署名者を誤誘導し、彼らが悪意のある取引を承認させました。

十分な署名を集めた後、攻撃者は資産を直接移動せず、マルチシグウォレットのアップグレード可能なメカニズムを利用して、既存の実装スマートコントラクトを自身が展開した悪意のあるスマートコントラクトに置き換えました。

この悪意のあるスマートコントラクトは新しい実行ロジックとして設定され、以降のすべての取引はリダイレクトされ、資金は攻撃者のアドレスに流れ続けました。最終的に、マルチシグウォレットのコントロールが完全に乗っ取られ、チェーン上の資産が段階的に転送されました。

7. Project Name: Cetus (Stolen Amount: $223M | Time: May 2025)

盗難の理由：

今回の攻撃は、プロトコルが流動性計算における算術オーバーフローの脆弱性から発生しました。

具体的には、Cetus は大きな数値の計算時に使用する数学関数に境界条件の判断ミスが存在しました。ある値がちょうど臨界値に達した場合、システムはオーバーフローが発生することを正しく認識せず、計算を継続し、結果が異常に拡大します。

攻撃者はこの点を利用して操作フローを構築しました：

まず、大口取引を行うことで極端な価格条件を作り出し、そして特定の範囲で流動性プールを作成し、極小量の資産（ダストレベル）のみを投入しました。これらの条件の下で、契約内のオーバーフロー問題が発生し、システムが攻撃者に実際の投入額をはるかに超える流動性シェアを与えると誤解します。

その後、攻撃者はこれらの拡大されたシェアを利用して流動性を削除し、プールから投入額をはるかに超える資産を引き出しました。このプロセスは繰り返すことができ、プール内の資金を持続的に抜き取り、最終的に大規模な損失をもたらしました。

8. Project Name: Gala Games（盗難金額：$216M｜Date: May 2024）

盗難の理由：

今回の攻撃の中心は、高権限の鋳造アカウントの秘密鍵が漏洩し、アクセス制御が失われたことにあります。

Gala の契約自体は mint 機能に権限制限を設けていますが、鋳造権限を持つアカウント（鋳造者アカウント）の一つの秘密鍵が攻撃者に取得されました。そのアカウントは長らく使用されていませんでしたが、依然として完全な高権限を保持していました。

そのアカウントの制御権を取得した後、攻撃者は直接契約の鋳造関数を呼び出し、約 50 億枚の GALA トークンを造幣し、個人アドレスに送金しました。その後、攻撃者はこれらのトークンを市場で段階的に ETH に交換して現金化しました。

この全プロセスではスマートコントラクトの脆弱性は利用されず、正当な権限を通じて悪意のある操作が実行されました。

9. Project Name: Mixin Network（盗難金額：$200M｜Date: September 2023）

盗難の理由：

今回の攻撃の中心は：Mixin が秘密鍵を中央集権的なクラウドデータベースに保存したことにあります。

Mixin Network は、35 人のメインネットワークノードによって共同維持され、48 のパブリックチェーンをサポートするクロスチェーン転送を行うと主張していますが、そのホットウォレットと多数の入金アドレスの秘密鍵は、第三者クラウドサービスプロバイダのデータベースに「復旧可能な形式」で保存されています。2023 年 9 月 23 日未明、攻撃者がこのデータベースに侵入し、これらの秘密鍵を大量に抽出しました。

秘密鍵を入手した後、攻撃者は任意のスマートコントラクト論理を解読する必要なく、正当な身分で署名してトランザクションを発行することができました。ブロックチェーン上の記録によると、攻撃者は残高が高い順にアドレスを一つずつ空にし、1 万件を超える取引が関与し、数時間にわたって続き、主要なアセットは約 9530 万ドルの ETH、2370 万ドルの BTC、および 2360 万ドルの USDT であり、そのうち USDT は凍結を回避するために急速に DAI に交換されました。

10. プロジェクト名：Euler Finance（盗難額：$197M｜日時：2023 年 3 月）

盗難の理由：

今回の攻撃の中心は、プロトコル内の資産と負債の計算ロジックの不一致があり、それがフラッシュローンによって拡大利用されました。

具体的には、Euler の DonateToReserve 関数が実行される際、担保資産を表す eToken だけが破棄され、負債を表す dToken が同期的に破棄されなかったため、システム内での「担保」と「負債」の対応関係が壊れました。

この状況では、プロトコルは誤って担保資産が減少し、債務構造が変化したと誤認し、異常な資産状態が発生します。

攻撃者はこの点を中心に操作フローを構築しました:

まず、フラッシュローンを取得し、プロトコル内で預け入れや借り入れ操作を行い、繰り返し eToken と dToken の数量関係を調整します。このロジックの欠陥を利用して、システムに間違った資産/負債の状態を継続的に引き起こし、実際の担保能力を超える借入額を得ます。

異常に拡大した借入能力を得た後、攻撃者は資金を分割して引き出し、DAI、USDC、stETH、wBTC などの複数のアセットを介して転送を完了します。このプロセス全体は単一のトランザクションで行われ、収益を拡大するために複数回の操作が行われ、最終的に約 1.97 億ドルの損失が発生しました。

二、最近盗難に遭った 10 件のプロジェクト

1. プロジェクト名：Hyperbridge（被害額：約 250 万ドル、2026 年 4 月）

被害原因：

今回の事件の核心は、Token Gateway のプルーフ検証ロジックに存在する欠陥です。

攻撃者は、MMR（Merkle Mountain Range）プルーフ検証での入力検証の欠如を悪用し、クロスチェーンプルーフとして通過すべきでないものを偽造しました。システムは誤ってこの無効なプルーフを有効なものとして処理したため、攻撃者はさらにイーサリアム上の DOT とのブリッジ契約の管理権限を取得し、約 10 億枚の偽の bridged DOT を鋳造し、DEX で売却しました。

同時に、攻撃はイーサリアム、Base、BNB Chain、Arbitrum 上の DOT プールにも波及し、当局は後に最初の推定被害額 23.7 万ドルを約 250 万ドルに修正しました。

2. プロジェクト名：Venus Protocol（被害額：約 370 万ドルから 500 万ドル、2026 年 3 月）

被害原因：

今回の攻撃の核心は、supply cap の検証が回避可能であり、exchange rate 計算ロジックが悪用されたことです。

具体的には、Venus は市場資金を計算する際、契約内の実際の残高を balanceOf() を使用して直接読み取ります。ただし、supply cap の制限は mint() プロセスでのみチェックされます。

攻撃者は vToken 合約に直接基礎資産（ERC-20 トランスファー）を転送することで、mint() を回避し、supply cap の検証を回避しました。

これらの資金が契約残高に計上されたため、システムは資産プールが増えたと見なし、しかし対応する vToken 数が増加していないため、exchange rate が異常に引き上げられました。

このような状況下で、攻撃者は元々の担保資産価値が拡大され、実際よりもはるかに高い借入能力を得ました。

その後、攻撃者は拡大された担保価値を利用し、貸出→価格高騰→再度貸出のサイクルを繰り返し、プロトコルから複数の資産を引き出し、最終的に約 500 万ドルの損失を引き起こしました。

error

最終的に、プロトコルの資金が持続的に引き出され、ステーブルコインがアンカーから外れ、約 700 万ドルの資産が送金されました。

5. プロジェクト名: Solv (盗難額: 約 250 万ドル、2026年3月)

盗難の理由:

この攻撃の核心は、BRO Vault スマートコントラクトにダブルスパン攻撃の脆弱性（再入によって引き起こされる）が存在していたことです。

具体的には、スマートコントラクトは ERC-3525 アセットを受け取る際に doSafeTransferIn を呼び出し、ERC-3525 は ERC-721 に基づいており、安全な転送プロセス中に onERC721Received コールバックが発生します。

このプロセスでは、スマートコントラクトがメインプロセスで一度の鋳造を実行し、同時にコールバック関数でさらに一度の鋳造操作をトリガーします。

コールバックが最初の鋳造が完了する前に発生するため、攻撃者は一度の入金操作で二度の鋳造をトリガーでき、典型的な再入経路を形成できます。この脆弱性を繰り返し利用することで、攻撃者は少額の資産を大量のBROに拡大し、それをSolvBTCに交換して送金しました。

6. プロジェクト名: Aave (間接的に影響を受け、不良債権リスク約 1.77億〜2.36億ドル、2026年4月)

盗難の理由:

この事件の直接的な脆弱性はAaveにはなく、Kelp DAOのクロスチェーンブリッジの検証メカニズムの失敗に由来します。

攻撃者は、LayerZeroベースのクロスチェーンブリッジに偽のメッセージを送信し、実際にETHを預け入れていない状況で約116,500枚のrsETHが誤って鋳造された状態を作り出しました。これらのrsETHには実際の資産裏付けがありませんが、システム内で通常の担保資産として扱われました。

その後、攻撃者はこの担保のないrsETHをAaveに預け入れて担保とし、大量の実際の資産（WETH）を借り入れました。Aaveのパラメータ設定が大規模な担保と借入を許可していたため、攻撃者は短期間で借入と資金の送金を完了しました。

最終結果は: 攻撃者は「偽の担保資産 → 実際の資産の借入」によってリスクをAaveに移し、大規模な不良債権を形成しました。

7. Project Name: YieldBlox (Amount Stolen: Approximately $10.2 Million, February 2026)

Theft Reason:

The core of this attack lies in the oracle price manipulation through a single transaction (low liquidity + VWAP mechanism).

Prior to the attack, the USTRY/USDC trading pair had minimal liquidity and no regular trades within the oracle price window. The Reflector oracle used by YieldBlox is based on VWAP (Volume-Weighted Average Price), where in this scenario, a single transaction could determine the price.

The attacker first placed an extreme price (approximately 500 USDC per USTRY) and then used another account to execute a trade with a tiny volume (only about 0.05 USTRY), successfully raising the oracle price to around $106.

Post-price amplification, the attacker's USTRY holdings were considered high-value collateral by the system, granting them a loan far exceeding the actual value. Subsequently, the attacker borrowed all assets from the pool (XLM and USDC) directly, facilitating fund withdrawal.

8. Project Name: Step Finance (Amount Stolen: Approximately $30 to $40 Million, January 2026)

Theft Reason:

The core of this attack lies in the compromise of a project core team member's device, leading to a breach of private keys or the signature process.

By infiltrating the team executive's device, the attacker gained access to the project's control wallet. This access may include directly obtaining the private keys or disrupting transaction signing processes through malware to have executives unknowingly sign off on malicious transactions.

Upon gaining control, the attacker manipulated multiple Solana wallets controlled by the project, including unstaking assets and transferring funds out. No smart contract vulnerabilities were involved in the entire process; instead, the attacker directly exploited the acquired wallet permissions to execute fund transfers.

Ultimately, a significant amount of the project's funds were drained, resulting in a loss of around $30 million and a substantial token price drop.

9. Project Name: Truebit (Amount Stolen: Approximately $26 Million, January 2026)

盗難の原因：

今回の攻撃の中心にあるのは、TRU 購入価格の整数オーバーフロー脆弱性です。

buyTRU() の価格計算プロセスでは、多くのビッグナンバー乗算と加算が関与していますが、契約は Solidity 0.6.10 コンパイルバージョンを使用しており、デフォルトではオーバーフローチェックがありません。

攻撃者が特定の大きなパラメータを入力すると、中間計算値がオーバーフローし、値がラップアラウンドされ、最終的な購入価格が異常に低くなり、0になる可能性があります。

この場合、攻撃者は非常に低コストまたはゼロコストで多額の TRU を購入できます。

一方、プロトコルの売却ロジック（sellTRU()）は通常のルールに従って計算され、契約内の ETH リザーブを比例して交換できます。

その後、攻撃者は繰り返し実行しました：

低価格/ゼロ価格で TRU を購入 → 通常価格で売却 → ETH を引き出す

複数のラウンドを通じてプロトコルから資金を引き出し続け、最終的に約 2600 万ドルの損失を引き起こしました。

10. プロジェクト名：Makina（盗難額：およそ 410 万ドル、2026 年 1 月）

盗難の原因：

今回の攻撃の中心にあるのは、外部の Curve プールデータに依存した AUM / sharePrice 計算で、検証が不足していることで、Flashloan によって操作されたことです。

攻撃者は大量の資金を借り入れ、一時的に複数の Curve プールに流動性を注入し、取引を行い、プールの状態や関連する計算結果（LP の価値、引き出しの計算結果など）を人為的に変更しました。

これらの操作されたデータは、プロトコルが直接 AUM（資産管理規模）の計算に使用し、さらに sharePrice に影響を及ぼしました。

外部データに対する適切な検証や時間加重処理が行われなかったため、システムはこれらの異常データを実際の値として扱い、次のような結果が発生しました：

· AUM が大幅に引き上げられました

· sharePrice が異常に膨れ上がりました

sharePrice が引き上げられた後、攻撃者は価格差を利用して裁定取引を行い、DUSD/USDC プールから資産を交換し、利益を得ました。

3. 20 件の盗難事件の共通のパターンと示唆

これら 20 件の事件から、実際に盗まれた莫大な資産のパスを見ると、最終的にハッカーがたどる道は技術的な欠陥とソーシャルエンジニアリングの 2 つに帰結することがよりはっきりと見えてきます。

1. 技術的な欠陥：技術的な欠陥の事例に関する時間的な分布からは、明確な移行パスが見られます。

初期の技術的な欠陥は、主にクロスチェーンブリッジに集中しており、クロスチェーンブリッジはその段階で DeFi が最も急成長し、コードが最新で監査が最も脆弱なインフラストラクチャでした。クロスチェーンブリッジは多額の資産を運び、充分な敵対的テストを経験していませんでした。

その後、業界はクロスチェーンブリッジのセキュリティに関心を寄せ、検証メカニズムが一般的に強化されると、大規模なクロスチェーンブリッジの技術的な欠陥は明らかに減少しました。しかし、欠陥は消えたわけではなく、場所が変わりました。それは DeFi プロトコル内部の数学的論理、オラクルの設計、およびサードパーティのライブラリへと移動しました。

・ Cetus: 数学ライブラリの境界条件の誤り、

・ Truebit: 古いバージョンのコンパイラの整数オーバーフロー、

・ YieldBlox: オラクルが低流動性市場に過剰な信頼を寄せています。

この背後にある本質は 1 つだけです：攻撃面は常に資産、コードの新旧、監査のカバレッジの盲点に連れて行かれるということです。ある種のインフラが集中攻撃を受け、業界が対応すると、防御が強化されます。その後、攻撃者は次に成長が最も早く、最も脆弱な場所に移動します。

2. ソーシャルエンジニアリング：これら 20 件の盗難事件のうち、4 件が朝鮮の国家ハッカーグループに帰属または高度に帰属されています―Ronin、WazirX、Bybit、Driftで、合計損失額は 25 億ドルを超えています。

Chainalysis のデータによると、朝鮮と関連のあるハッカーグループは 2025 年だけで 20 億ドルを超える暗号資産を盗み、その年の世界的な暗号盗難総額のほぼ 60%を占めています。2024 年と比較して、朝鮮のハッカー攻撃回数は 74% 減少しましたが、各攻撃ごとの平均額は大幅に増加しました。

朝鮮のハッカーの手口も引き続き向上しており、Ronin 時代のシステムへの直接侵入から始まり、Bybit のサプライチェーン攻撃、さらには Drift の 6 か月間にわたるオフライン浸透に至るまで、常に既存の防衛策の外側で新しい方法を見つけ出しています。

より警戒すべきは、北朝鮮のハッカーが世界中の暗号業界に大規模に潜入し、開発者を装ったスリーパーエージェントを配置していることです。これらの人物は一度目標企業に入ると、内部システム構造を把握し、コードライブラリの権限を取得し、本番コードにバックドアをこっそり埋め込みます。

盗まれた影響が拡大しています：初期の盗難事件では、影響は基本的にプロトコル自体に限定されていましたが、DeFiのコンポーザビリティが深まるにつれ、単一の影響が外部に伝播し始めました。

· ドリフト（Drift）: 盗まれた後、少なくとも20のプロトコルがその流動性や戦略に依存しており、中断、一時停止、または直接的な損失が発生しました。Carrot ProtocolはTVLの50%が影響を受けました。

· Aave：Aaveのスマートコントラクト自体に問題は全くありませんが、Kelp DAOのrsETHを担保として受け入れたため、外部ブリッジの検証エラーが直接Aaveの債務不履行リスクに転換しました。

これらのパターンは最終的に次の現実を指し示しています：資産をプロトコルに預けることは、そのプロトコルのコードだけを信頼しているわけではありません。あなたは同時に、そのプロトコルが依存するすべての外部資産、すべての第三者サービス、および管理権限を持つ数人の判断と操作の安全性を信頼しています。

最近、盗難に関するニュースが連続しており、Polymarketは今月、「今年、100万ドル以上が盗まれた暗号プロジェクトはあるか？」という市場をローンチしました。結果は1か月も経たずに市場が決済されました。これは偶然ではありません。DeFiの資産規模が拡大し、プロトコル間の依存関係が深まる一方で、資金保全能力はこの速度に追いついていません。

安全に対する圧力はまだ緩和されていませんが、脅威の次元は拡大しています。2026年4月、AnthropicがリリースしたClaude Mythos Previewは、各主要オペレーティングシステムとブラウザの数千の深刻な脆弱性をテスト中に発見し、既知の脆弱性の72%を攻撃経路に変換できることが分かりました。

この能力がスマートコントラクトを体系的にスキャンされると、DeFi業界の脆弱性が以前にない速さで発見され、悪用されることを意味します。その一方で、プロジェクトチームはこのツールを活用して自己診断を行い、潜在的なリスクを事前に特定し修復し、セキュリティ保護能力をさらに向上させることができます。