Circle には盗まれた 2 億 8,500 万ドルの USDC を凍結するために 6 時間の猶予があったが、何もしなかった

6時間。それは、2億3200万ドルの盗まれた USDC が、サークル（Circle）社独自のクロスチェーン・トランスファー・プロトコル（CCTP）を介して、ソラナ（Solana）からイーサリアム（Ethereum）へと流れ続けた時間だ。しかもこれは、2026年のエイプリルフールの白昼、米国の営業時間中に発生した。その間、世に存在するすべての USDC トークンを発行・管理している同社は、ただ傍観し、何の手も打たなかった。2026年最大の DeFi ハックとして確定した Drift Protocol のエクスプロイトは、ステーブルコイン発行体がエコシステムに対して何を負うべきか、そして「選択的な執行」は無執行よりも悪質なのではないかという激しい論争を巻き起こしている。

Drift Protocol 強奪事件：12分間で2億8500万ドルが消失

2026年4月1日、攻撃者はソラナベースの主要な無期限先物取引所である Drift Protocol から2億8500万ドルを流出させた。このエクスプロイトは、単純なスマートコントラクトのバグではなかった。ブロックチェーン分析会社 Elliptic は、この攻撃を北朝鮮のラザルス・グループ（Lazarus Group）によるものと断定した。彼らは 14億ドルの Bybit への不正アクセスにも関与した国家支援のハッカー集団であり、2026年だけで18回目の暗号資産作戦となる。

攻撃者は3週間かけて準備を進めていた。3月11日から、彼らは Tornado Cash から ETH を引き出し、CVT（carbonvote token）と呼ばれる偽の担保トークンをデプロイした。そして Raydium で最小限の流動性を提供し、価格を 1.00ドル付近に維持するためにウォッシュトレードを繰り返した。3月23日から3月30日の間に、攻撃者は複数の「デュラブル・ナンス（Durable Nonce）」アカウントを作成した。これは、トランザクションを事前に署名し、期限切れになることなく後で実行できるという、ソラナの正規の機能である。

ソーシャルエンジニアリングを通じて、Drift の5人のセキュリティ・カウンシル・マルチシグ署名者のうち2人が、日常的な取引に見えるものに事前署名するよう欺かれた。これらの署名とデュラブル・ナンスのエクスプロイトが組み合わさることで、攻撃者はプロトコルレベルの管理権限を手に入れた。わずか12分間で、彼らは Drift のコア・ヴォルト（金庫）を空にした。これは、3億2600万ドルの Wormhole ブリッジ・ハックに次ぐ、ソラナ史上2番目に大きなエクスプロイトとなった。

物語が Circle 社にとって致命的なものとなるのは、その後の展開である。

6時間、100回以上のトランザクション、介入はゼロ

攻撃者は盗んだ資産（主に USDC と SOL）を統合し、Circle 独自の CCTP を使用してソラナからイーサリアムへのブリッジを開始した。約6時間にわたり、100回以上の個別のトランザクションを通じて、2億3200万ドルの USDC が Circle のインフラを通過した。

これは、どこか遠いタイムゾーンの真夜中の出来事ではない。ブリッジ活動は、Circle のコンプライアンスチームや運用チームがデスクにいたはずの米国の営業時間中に行われた。ブロックチェーン調査官の ZachXBT が最初に沈黙を破った。「9桁におよぶ Drift のハックが発生した米国の数時間、CCTP を介して数千万ドルの USDC がソラナからイーサリアムへスワップされている間、Circle は眠っていた」

Circle の回答はこうだ。同社は、制裁指定、法執行機関の命令、または裁判所の命令に応じて「法的に要求された」場合にのみ資産を凍結するという。正式な法的指示がない限り、Circle は一方的に資金を凍結することはできないと主張した。

「選択的執行」の問題

Circle の法的論拠は通用したかもしれない。もし、その9日前に起こったことがなければ。

2026年3月23日、Circle は封印された米国の民事事件に関連する 16のウォレットの USDC 残高を凍結した。そのうち5つのウォレットは、コミュニティから正当なビジネスのものであるとの指摘を受け、後に凍結解除された。ZachXBT は、この3月23日の凍結を、彼が5年間のオンチェーン調査で目撃した中で「おそらく最も無能な」行動であると批判した。

この並置は鮮明だ。Circle は民事訴訟では迅速に口座を凍結し、罪のないビジネスを混乱させる可能性を厭わなかった。その一方で、数億ドルのハッキング収益がリアルタイムで自社のブリッジを流れている間は傍観していたのだ。コミュニティの結論は手厳しいものだった。「Circle は弁護士から依頼があれば凍結するが、ユーザーが強奪されている時には動かない」

4月3日、ZachXBT はさらに攻勢を強め、「Circle USDC Files」と呼ぶ詳細なスレッドを公開した。そこでは、2022年まで遡る少なくとも15のケースで 4億2000万ドル以上のコンプライアンスの失敗があったと告発されている。いずれのケースにおいても、Circle には介入する技術的能力があったが、あえてそれを行わなかったと彼は主張した。

33億ドルの差：テザー（Tether）とのアプローチの違い

Circle の無策は、競合であるテザー（Tether）社と比較するとさらに際立つ。AMLBot のレポートによると、2023年から2025年の間に、テザーはブラックリストに登録された 7,268のアドレスにわたって 33億ドルの USDT を凍結した。これに対し、Circle が同じ期間に凍結したのはわずか 372アドレス、1億900万ドルであり、約30倍の差がある。

テザーの積極的な姿勢は、単なる凍結にとどまらない。同社は凍結されたトークンをバーン（焼却）し、代わりのトークンを再発行する能力を持っており、盗まれた資金を被害者や法執行機関に事実上返還している。テザーがブロックしたアドレスのうち 2,800以上は、米国の機関と直接連携して行われたものだ。

哲学的な違いは明らかだ。歴史的に英領バージン諸島に拠点を置き、現在はエルサルバドルを拠点とするテザーは、より介入主義的な姿勢で運営されている。まず凍結し、法的な細部については後で対処するというやり方だ。一方、待望の IPO を控えた米国規制下の事業体である Circle は、厳格な法的形式主義をとっている。裁判所の命令がなければ凍結しない、という方針だ。

しかし、Drift のハックは Circle の枠組みにおける致命的な欠陥を露呈させた。2026年最大のハックが営業時間中に自社のブリッジで展開され、その対応が事実上「我々の問題ではない」というものであれば、市場はその「コンプライアンス優先」というブランドが、実は「コンプライアンス回避」の言い訳ではないかと疑い始めるだろう。

不可能なトリレンマ：コンプライアンス、速度、そして分散化

Drift と Circle を巡る論争は、ステーブルコイン業界全体が抱えるより深い構造的問題、すなわち「ステーブルコイン凍結のトリレンマ」を浮き彫りにしています。

積極的に凍結しすぎると、DeFi ユーザーを遠ざけ、（3月23日に Circle が示したように）無実のアカウントを凍結させてしまうリスクがあります。また、適切な権限なしに行動したことによる法的責任を問われる可能性もあります。

凍結が遅すぎると（あるいは全く行わないと）、数億ドルが国家支援のハッカーへと流れてしまいます。重要な金融インフラとしての信頼性を失うことになります。

凍結機能を完全に排除すると、規制を遵守できなくなり、さらに悪い結果を招く可能性があります。

リップル（Ripple）社の CTO エメリタスであるデビッド・シュワルツ（David Schwartz）氏は、Drift のハッキング事件後、まさにこの緊張関係について意見を述べました。コロンビア・ビジネス・スクールのオミッド・マレカン（Omid Malekan）教授が、「凍結なし」のステーブルコインが競争上の差別化要因として浮上すると予測したのに対し、シュワルツ氏はそれは根本的に不可能であると反論しました。「ステーブルコインの核心は、発行者が法定通貨で償還するという法的義務を表しているという点にあります。裁判所の命令はその法的義務を解消します。」もし流通している一部のステーブルコインが償還可能な義務を表さなくなれば、トークン全体が準備金の一部しか持たないフラクショナル・リザーブ（部分準備銀行制度）となり、ステーブルコインを定義づける安定性そのものを損なうことになります。

規制による審判

Drift のハッキングが発生したタイミングは、ステーブルコインの規制アジェンダにとって、これ以上ないほど最悪であり、かつ啓示的でもあります。

法案として成立した GENIUS 法は、ステーブルコイン発行者に対し、法的に要求された場合にトークンを凍結できる技術的能力を維持することを明示的に求めています。しかし、この「法的に要求された」という部分こそが、まさに Circle が利用しているグレーゾーンです。法律は凍結機能を義務付けていますが、裁判所の命令がない状態で、発生中のハッキングに対してリアルタイムで対応することまでは義務付けていません。

一方、金融活動作業部会（FATF）は、より積極的なモデルを推進しています。2026年3月の重点報告書では、発行者や暗号資産サービスプロバイダー（VASP）に対し、ピア・ツー・ピア取引を含むステーブルコインのライフサイクル全体を監視し、制裁対象や高リスクのアドレスによる取引をリアルタイムでブロックできる「マルチホップ」分析の自動化を奨励しています。

伝統的金融との対比は示唆に富んでいます。レギュレーション E の下、米国の銀行は不正被害者に対し、10営業日以内に仮クレジットを提供しなければなりません。銀行システムには、明確で強制力のある対応時間の期待値が存在します。現在3,080億ドル以上の価値があるステーブルコイン市場には、それが存在しません。

もし Circle の法的立場が「裁判所の命令なしに盗難資金を凍結することはできない」というものであれば、業界には数週間ではなく数時間で緊急命令を取得できるメカニズムが必要です。もし Circle の実際の立場が、民事訴訟では凍結する裁量を保持しながら、裁判所の命令なしには凍結しないことを「選択」しているということであれば、この選択的執行の問題は法的な危機ではなく、ガバナンスの危機です。

次に何が起こるか

Drift のハッキングと Circle の無対応は、すでに進行中のいくつかのトレンドを加速させる可能性が高いでしょう。

• 自動凍結プロトコル: Elliptic、TRM Labs、Chainalysis などのオンチェーン監視企業は、すでに盗難資金をリアルタイムで追跡しています。欠けているリンクは、クレジットカードネットワークが不審な取引を自動的にフラグ立てするのと同様に、検証済みのハック検知によってトリガーされる、事前承認済みのスマートコントラクトベースの凍結メカニズムです。

• ステーブルコインの SLA: 銀行が不正に対して法的に義務付けられた対応時間を持っているのと同様に、ステーブルコイン発行者も、特に CCTP のような独自のインフラを通じて資金が移動する場合、対応時間へのコミットメントに関する規制要件に直面する可能性があります。

• 発行者への競争圧力: Tether が Circle に対して30倍の凍結実績を持っていることは、今や単なるコンプライアンスの指標ではなく、マーケティング上の利点となっています。Ripple の RLUSD のような新規参入者は、初日から GENIUS 法に準拠するように凍結メカニズムを明示的に設計しています。

• DeFi セキュリティのアップグレード: マルチシグの署名者をソーシャルエンジニアリングしてデュラブル・ナンス（durable nonce）トランザクションに事前署名させるという Drift の脆弱性は、プロトコルに管理者キーの管理を再考させることになります。タイムロック実行、ハードウェア・セキュリティ・モジュール（HSM）、およびマルチシグ取引の独立した検証が標準となるでしょう。

3,080億ドルのステーブルコイン市場は、クリプトの機関投資家向け野心の中心に位置しています。すべての主要銀行、資産運用会社、フィンテック企業は、ステーブルコインがペグ（固定相場）だけでなく、それを取り巻くガバナンスの枠組みにおいても「信頼できる」という前提に依存しています。

Circle には、USDC が彼らが求める機関投資家からの信頼に値する、重要な金融インフラであることを証明するために6時間の猶予がありました。しかし、彼らが示したのは、2026年最大のハッキングが自社のレール上で展開されたとき、その答えは沈黙であったということです。

市場はこのことを忘れないでしょう。

ブロックチェーンインフラの構築には、最も重要な局面で機能することを信頼できるパートナーが必要です。BlockEden.xyz は、ミッションクリティカルなアプリケーションが求める信頼性と透明性を備えた、20以上のチェーンにわたってエンタープライズグレードの RPC および API サービスを提供しています。