AaveがWETH制限を復旧、rsETH95%回収済み

2026年5月18日、AaveはWETHの貸出機能を6つのネットワークで再開した。2026年DeFi最大規模のエクスプロイトから30日で、未担保rsETHの95.4%が回収されたという事実は、分散型金融の自律的な危機対応能力を示す前例となった。ただし30,765 ETH(約7,100万ドル相当)はArbitrumで依然として凍結されており、連邦裁判所の判断を待つ状況だ。Chainalysisの報告によれば、攻撃者は北朝鮮のLazarusグループとされている。

LayerZero LabsのDVN（分散型検証ネットワーク）に接続するRPCノードへの侵害と、非侵害ノードへのDDoS攻撃が組み合わさった攻撃だった。感染したノードはUnichainからの偽クロスチェーンメッセージを注入し、EthereumコントラクトにETH担保なしで116,500 rsETHを放出させた。1-of-1 DVN設定が単一障害点となったことが、被害拡大の根本原因である。

Kelpは流出から46分後の18:21 UTCにコアコントラクトを一時停止し、続く計2件の約$1億規模の試みを阻止した。Aave、SparkLend、FluidはrsETH市場を凍結。4月21日にArbitrumのSecurity Councilが30,765 ETHを凍結し、4月23日にAaveはLido、EtherFi、Stani Kulechovと協力してDeFi Unitedを発足させた。

出所: Aave Governance Forum · CoinDesk · 2026年5月18日

DeFi Unitedがエクスプロイトの損失をどう補填したか

エクスプロイトから5日後の2026年4月23日、AaveファウンダーのStani Kulechovが個人として5,000 ETHの拠出を表明した。Lido Financeが2,500 stETH（約570万ドル相当）、EtherFiが5,000 ETH相当の支援計画を続いて発表。DeFi Unitedという名のリカバリファンドが制度的な命令なしに数週間で組成された。目標は未担保rsETHの不足分を補い、システム全体に波及する強制清算の連鎖を防ぐことだった。最終的にAave Governance Forumの開示によると、調達額は$327.95百万に達した。必要額の4倍超だ。規制当局が動き出す前に、プロトコル連合が問題を包囲した形になった。

On April 18 at 17:35 UTC, an attacker drained 116,500 rsETH (~$292M, ~18% of circulating supply) from Kelp DAO's LayerZero-powered bridge.

$292M drained, 2026's largest DeFi hack so far.

Here's how it unfolded and what it means. 👇 https://t.co/D7i53vaj6p

，CredShields (@CredShields) April 19, 2026

2026年5月18日07:05 UTC、AaveはX上の公式声明でWETHのloan-to-value（LTV）比率をV3の6デプロイメント（Ethereum Core、Ethereum Prime、Arbitrum、Base、Mantle、Linea）でエクスプロイト前の水準に戻したと発表した。DeFiユーザーにとって意味するのは明確だ。エコシステム最大の貸出市場が1カ月ぶりに完全復旧し、6ネットワーク全体でETHを担保とした借入、流動性供給、レバレッジ戦略が再び利用可能になった。

Kelp DAOエクスプロイトの手法と損失負担の問題

言い換えると、LayerZeroとChainalysisの分析によると、北朝鮮のLazarusグループが3段階の作戦を実行した。まずブリッジの検証者に接続する2つのRPCノードを侵害。次に非侵害ノードへのDDoS攻撃でオフラインに追い込み、制御済みノードだけをデータソースとして残した。最後にUnichainからの偽クロスチェーンメッセージを注入し、Ethereumコントラクトに116,500 rsETHを放出させた。Unichain側で実際に流通していたのは約49 rsETHに過ぎなかった。メッセージは116,500と告げた。コントラクトは実行した。

1-of-1 DVN設定が脆弱点だった。単一の検証者、冗長なチェックなし。Kelpはこれがデプロイ時のLayerZeroのデフォルト設定だったと主張し、LayerZeroは複数検証者を推奨していたと反論している。CoinDeskが攻撃直後に公表したデータによれば、LayerZero上でアクティブなプロトコルの40%が今なお同様の設定を使用している。

凍結された7,100万ドルと北朝鮮被害者との法的争い

4月21日、ArbitrumのSecurity Councilは攻撃者に関連するオンチェーンの動きから回収した30,765 ETH（当時約7,100万ドル相当）を凍結した。被害を受けたユーザーへの返還が目的だった。ところが5月5日、北朝鮮テロの米国人被害者を代理する弁護士がニューヨーク南部地区連邦地裁に申し立てを行った。論拠は、当該資金はテロリスク保険法（TRIA）の下で「北朝鮮国家の財産」にあたり、平壌に対して既に得た判決の弁済に充当できるというものだ。

Aaveは法廷への申述書で反論した。資金はプロトコルのユーザーのものであり、北朝鮮のものではない。凍結を継続すれば、Lazarusグループとは無関係のユーザーに「連鎖的な清算と回復不能な損害」をもたらすと主張した。相手方は5月6日の追加提出書類でさらに踏み込んだ。Aave自身の利用規約が「プラットフォームはユーザー資産の所持、保管、管理を行わない」と明記しており、管理していないなら裁判所でどう権利を主張できるのかという問題を突いた。DeFi Unitedは既に$327百万を調達しており、争点となっている7,100万ドルは数字の上では回収に不要だ。だが法的前例としての意味は計り知れない。

SEAL-911（DeFiセキュリティタスクフォース）によれば、4月18日18:26 UTCにKelpが阻止した2度目の試みは約2億ドルをさらに奪う可能性があった。システムはドレインから46分後に一時停止を作動させた。数十億ドルを処理するブリッジにとって46分は長い。LayerZeroがまだ完全には答えていない問いが業界に残る。本番環境で稼働している他のコントラクトのうち、4月18日と同じ偽の署名をそのまま受け入れてしまうものが今なおいくつ存在するのか。設定を更新した者はどれほどいるのか。

2026年5月18日の時点で、Aave Governance Forumが開示したデータでは112,103 rsETHが生成され、106,993 rsETH（95.4%）が回収された。残余の約5,200 rsETHはDeFi Unitedが補填する。凍結された30,765 ETHについては、マンハッタン連邦地裁の判断が分水嶺になる。DeFiの自律的な危機対応は証明された。次の問いは、司法がその仕組みをどう扱うかだ。