DeFi の 4 月に 6 億 606 万ドルの被害：2026 年最悪のハック月間がスマートコントラクトのせいではない理由
2026年 4月の最初の 18日間で、攻撃者は 12以上の DeFi プロトコルから 6億 600万ドル以上を流出させました。これは、2026年第 1四半期の盗難総額の 3.7倍に相当する金額を、わずか 3週間足らずで達成したことになります。2025年 2月に発生した 15億ドルの Bybit ハッキング以来、仮想通貨の盗難において最悪の月となり、特に DeFi にとっては 2022年のブリッジ・エクスプロイト時代以来、最も壊滅的な期間となりました。
しかし、2022年とは異なり、その原因のほとんどはスマートコントラクトのバグではありませんでした。
Kelp DAO のブリッジ流出（2億 9,200万ドル）、Drift Protocol のオラクルおよびキーの侵害（2億 8,500万ドル）、そして 3月下旬の Resolv Labs AWS 強奪事件（2,500万ドル）には、静かではあるが、より厄介な共通点があります。それは、いずれもプロト コルチームが自らの「信頼の前提（trust assumptions）」に変更を加えたことで可能になったということです。デフォルトの設定、事前署名されたガバナンスの移行、単一のクラウドキーなど、スマートコントラクトの監査人がフラグを立てる理由がない要素が原因でした。2026年 4月の出来事は、Solidity の物語ではありません。それは、コード、インフラ、そしてガバナンスの間の運用の継ぎ目についての物語であり、「アップグレード」が新たなアタックサーフェス（攻撃対象領域）となった時に何が起こるかを示す物語です。
第 1四半期よりも深刻な 1ヶ月が、18日間に凝縮
4月がいかに異常であったかを理解するには、数字を詳しく見る必要があります。
CertiK は、2026年第 1四半期の総損失額を 145件のインシデントで約 5億 100万ドルと推定していました。これ自体、1月の 3億 7,000万ドルのフィッシングの波（当時としては 11ヶ月で最悪の月）によって膨れ上がった高い数値でした。2月は 2,650万ドル程度に落ち着きましたが、3月には 20件のインシデントで 5,200万ドルまで再び上昇し、PeckShield は小規模な DeFi 会場で繰り返される攻撃パターンを「シャドー・コンテイジョン（影の連鎖）」として警告していました。
そして 2026年 4月 1日。エイプリルフールは、当時としては今年最大のハッ キングとなった Drift のエクスプロイトで幕を開けました。その 18日後、Kelp DAO の流出がそれを追い抜きました。これら 2つのインシデントだけで、合計 5億 7,700万ドルを超えています。これに Resolv の余波、進行中のインフラ侵害、そして PeckShield や SlowMist のトラッカーに蓄積されている 12件の小規模な DeFi 侵害を加えると、わずか半月ほどで 6億 600万ドル以上に達します。
参考までに、Chainalysis は 2025年全体の仮想通貨盗難総額を 34億ドルと報告しています。そのほとんどは Bybit の侵害に集中していました。2026年 4月のペースが維持されれば、年末を待たずにその基準を容易に超えることになります。脅威は量的に増大したのではなく、集中度と攻撃者の洗練度において増大したのです。
3つのハッキング、3つの根本的に異なる失敗モード
4月の急増を単なる悲劇ではなく分析的に興味深いものにしているのは、3つの主要なインシデントが 3つの異なる攻撃クラスに明確に分類される点です。それぞれがスタックの異なるレイヤーを標的にしており、いずれも従来のスマートコントラクト監査人が捕捉するように依頼されていないクラスの失敗です。
クラス 1：新たな単一障害点としてのブリッジ設定 (Kelp DAO, $292M)
4月 18日、攻撃者は Kelp DAO の LayerZero 搭載ブリッジから 116,500 rsETH（約 2億 9,200万ドル）を流出させました。この手法は、CoinDesk と LayerZero のフォレンジックチームによる再現によれば、Solidity のバグを突いたものではありませんでした。それは設定の選択を悪用したものでした。
Kelp のブリッジは、シングル・ベリファイア（1-of-1 DVN）構成で運用されていました。攻撃者はそのベリファイアを提供している 2つの RPC ノードを侵害し、調整された DDoS 攻撃を使用してベリファイアをフェイルオーバーに追い込み、侵害されたノードを使用して不正なクロスチェーンメッセージが到着したことを証明させました。ブリッジは合図通りに rsETH を放出しました。LayerZero は、この活動を北朝鮮の Lazarus Group によるものとしています。
その後に続いた公開の非難合戦は、運用のレイヤーがいかに脆弱になっているかを露呈させました。LayerZero は、Kelp に対してマルチ・ベリファイア構成を使用するよう警告していたと主張しました。Kelp は、1-of-1 DVN モデルは LayerZero 自身の新しい OFT 統合用デプロイメントドキュメントにおけるデフォルト設定であったと反論しました。技術的には両方の主張が正しいと言えます。より深い問題は、Certik、OpenZeppelin、Trail of Bits といった監査法人のいずれも、「メッセージングレイヤーの DVN 設定は、ブリッジしようとしている価値に対して適切か？」というレビューを製品化していないということです。その対話は納品物の中ではなく、2つのチーム間の Slack チャンネルの中に存在しているのです。
クラス 2：潜在的なバックドアとしての事前署名されたガバナンス承認 (Drift, $285M)
4月 1日、Solana 最大の Perp DEX である Drift Protocol から、わずか 12分間で約 2億 8,500万ドルが流出しました。この攻撃は 3つのベクトルを連鎖させたものでした：
- 偽造オラクルターゲット：攻撃者は偽の「CarbonVote Token（CVT）」を約 7億 5,000万ユニット発行し、わずか 500ドル程度の Raydium プールに流動性を供給し、1ドル付近でウォッシュトレードを行って価格履歴を捏造しました。
- オラクルの取り込み：時間の経過とともに、その捏造された価格がオラクルフィードに拾われ、CVT が正当な見積資産であるかのように見せかけられました。
- 特権アクセス：最も致命的だったのは、攻撃者が以前に Drift のマルチシグ署名者をソーシャルエンジニアリングして隠れた承認に事前署名させていたこと、そしてゼロ・タイムロック（遅延なし）のセキュリティ評議会の移行によって、プロトコルの最後の防御壁である遅延が排除されていたことでした。
操作されたオラクルに対して承認された膨れ上がった担保ポジションを利用し、攻撃者はオンチェーン監視が作動する前に、USDC、JLP、その他のリザーブから 31回の高速出金を実行しました。
強調すべき 2つの詳細があります。第一に、Elliptic と TRM Labs は両社とも Drift の件を Lazarus によるものとしており、18日間で 2件目の国家級 DeFi 侵害となりました。第二に、失敗したのは「プロトコル」ではなく、「ガバナンスの配管」であったということです。スマートコントラクトは設定通りに動作しました。脆弱性は、ソーシャルエンジニアリングとタイムロックを削除したガバナンスアップグレードの中に存在していました。
Solana Foundation の反応は示唆に富むものでした。数日以内にセキュリティの抜本的な見直しを発表し、このインシデントを Solana プロトコルのバグではなく、プロトコルとエコシステム間の調整の問題として明確に位置づけました。その捉え方は正しいものです。それは同時に、防御の境界線が移動したことを認めるものでもあります。
クラス 3：5 億ドルのステーブルコインを支える単一のクラウドキー（Resolv、2,500 万ドル）
3 月 22 日の Resolv Labs のインシデントは、金額ベースでは 3 つの中で最小ですが、構造的には最も示唆に富んでいます。Resolv Labs の AWS Key Management Service（KMS）環境へのアクセス権を得た攻撃者は、特権を持つ SERVICE_ROLE 署名キーを使用して、約 10 万ドル 〜 20 万ドルの実際の USDC 預金から、裏付けのない 8,000 万 USR ステーブルコインをミントしました。総キャッシュアウト時間：17 分。
脆弱性は Resolv のスマートコントラクトにはありませんでした。それらは監査を通過していました。問題は、特権的なミント権限がマルチシグではなく単一の外部所有アカウント（EOA）であり、そのキーが単一の AWS アカウントの背後にあったことです。Chainalysis が述べたように、「5 億ドルの TVL を持つプロトコルが、無制限のミントを制御する単一の秘密鍵を持っていました」。最初の侵入経路がフィッシング、設定ミスのある IAM ポリシー、侵害された開発者の認証情報、あるいはサプライチェーン攻撃であったかどうかは依然として明らかにされていません。そして、その曖昧さ自体が重要なポイントです。プロトコルの攻撃対象領域（アタックサーフェス）は、その DevOps の境界線だったのです。
共通の糸：レッドチームのレビューなしのアップグレード
ブリッジ、オラクル、クラウド管理の署名キーは、全く異なる領域のように感じられます。しかし、4 月の各インシデントはすべて同じ運用パターンに帰着します。チームが設定、ガバナンスプロセス、またはインフラの選択に対して アップグレード を行い、それがプロトコルの信頼の前提条件を変更したに もかかわらず、その新しい前提を捉えるためのレビュープロセスが構築されていなかったのです。
Kelp は、LayerZero がドキュメント化していたものの、3 億ドルの流動性に対してストレスステストを行っていなかったデフォルトの DVN 設定にアップグレードしました。Drift は、タイムロックを削除するためにセキュリティカウンシル（Security Council）のガバナンスをアップグレードし、ソーシャルエンジニアリングによる承認を表面化させたであろう遅延そのものを排除してしまいました。Resolv は、通常のクラウド DevOps の一環として、単一のキーによる特権的なミント権限を運用化しました。
これこそが、OWASP が「プロキシおよびアップグレード可能性の脆弱性」（SC10）を 2026 年のスマートコントラクト Top 10 に全く新しい項目として追加した 理由です。フレームワークはようやく攻撃者がすでに移動した場所に追いつきつつあります。しかし、OWASP のルールは勝手に実行されるわけではありません。それらには人間によるレビューが必要ですが、多くのプロトコルは依然として「監査を受けた」という支配的なセキュリティのナラティブ（語り口）のために、その予算を確保していません。
そのナラティブが不十分であることは今や明白です。2026 年の最大級のインシデントのうち 3 つは、スマートコントラクトの監査に合格していました。侵害は別の場所で起きたのです。
130 億ドルの資本流出とモジ ュール型トラストの真のコスト
経済的被害は、盗まれた資金をはるかに超えて広がっています。Kelp の流出から 48 時間以内に、Aave の TVL は約 84 億 5,000 万ドル減少しました。また、より広範な DeFi セクターは 132 億ドル以上 を失いました。AAVE トークンは 16 〜 20% 下落しました。SparkLend、Fluid、Morpho は rsETH 関連の市場を凍結しました。おそらくローテーションから最も恩恵を受けた SparkLend は、ユーザーがよりシンプルな担保プロファイルを持つ場所を求めたため、ネットで約 6 億 6,800 万ドルの新規 TVL を獲得しました。
連鎖の背後にあるメカニズムは、明確に言及する価値があります。Kelp のブリッジを枯渇させた後、攻撃者は盗んだ rsETH を Aave V3 に担保として預け入れ、それを元に借り入れを行いました。その結果、単一の rsETH / wrapped-ether ペアに集中した約 1 億 9,600 万ドルの不良債権が残されました。rsETH を担保として受け入れて いるレンディング会場のどこも、モジュール型 DeFi の構成方法のせいで、自分たちの担保のバックストップが 1-of-1 の失敗モードを持つ単一検証者の LayerZero ブリッジにあることを見抜くことができませんでした。ブリッジが破綻したとき、すべての会場が同時に同じ穴にさらされたのです。
これこそが、DeFi のコンポーザビリティ（構成可能性）の核心にある、目に見えない結合の問題です。各プロトコルは自社のコントラクトを監査します。しかし、自社の担保として受け入れているトークンのプロトコルの運用上の前提を監査するプロトコルはほとんどありません。2026 年 4 月の連鎖的な崩壊は、現在 DeFi の統合を検討しているあらゆる機関投資家デスクのリスク担当者にとって、そのギャップを明白なものにしました。
次に来るもの：監査から継続的な運用レビューへ
4 月の騒動を前向きに解釈するならば、それは DeFi セキュリティ投資の次の段階を避けられないものにしたということです。すでに 3 つの変化が見え始めています。
1. ブリッジ設定の開示が最低条件に。 リキッド・リステーキングやクロスチェーン・プロトコルが、スマートコントラクトのソースコードが今日公開されているのと同じように、明示的な DVN 設定、フォールバックルール、検 証者しきい値を公開（および更新）し始めることが期待されます。設定情報を第一級の開示対象とすることは、すでに機が熟しています。
2. 交渉不可能なガバナンスのデフォルトとしてのタイムロック。 業界の分析 では、ガバナンスの移行における実用的な最小遅延を一貫して 48 時間としています。これは、監視システムが異常を検知し、ユーザーが資産を引き出すのに十分な時間です。Drift のエクスプロイトにより、第 3 四半期までにはタイムロックなしの移行は専門的に弁明の余地がないものになるでしょう。
3. フォーマルなマルチパーティ計算（MPC）または HSM 制御下での特権キーの管理。 Resolv の単一 EOA によるミント権限は、今や業界の教訓となっています。ミント権限を持つプロトコルは、LP や機関投資家の統合担当者が、デフォルトでしきい値署名スキーム（TSS）またはハードウェア分離されたキー管理のいずれかを要求することを想定すべきです。
より深い構造的変化は、一回限りの成果物としての「監査」が、「継続的な運用レビュー」に取って代わられつつあることです。これは、年次の監査サイクルが追跡できるよりも速く進化する設定、ガバナンスの変更、インフラの依存関係を継続的に評価することを意味します。これを最も早く内面化したプロトコルが、現在、不良債権の処理が終わるのを傍観している機関投資家の資本を吸収することになるでしょう。
信頼の対象領域（トラスト・サーフェス）は変化した
2026 年 4 月は、新しい種類のエクスプロイトが発生したというよりも、従来の防御策が間違った境界線を向いていることが露呈した月となりました。スマートコントラクトの監査は依然として必要ですが、それだけでは到底十分ではありません。 DeFi における信頼の対象領域は、ブリッジの設定、ガバナンスの仕組み、そしてクラウド管理された鍵へと外側に拡大しています。そして、国家レベルの支援を受けるアクター並みの忍耐強さとリソースを持つ攻撃者たちが、現在その境界を体系的に攻略しています。
次なる機関投資家による統合の波を勝ち取るプロトコルは、かつて Solidity のコードに対して注いでいたものと同じ厳格さで、自らの「運用のあり方（オペレーショナル・ポスチャ）」を扱うプロトコルです。未だに 1 年前の監査報告書（PDF）をセキュリティの根拠として提示しているチームは、皮肉にも来月のニュースの見出しを飾るリスクがますます高まっています。
BlockEden.xyz は、スタック内の依存関係を「退屈で安定したもの」にしたいビルダーのために、エンタープライズ級の RPC およびインデキシング・インフラストラクチャを提供します。API マーケットプレイスを探索 して、2026 年に求められる運用の厳 格さに対応して設計された基盤の上で開発を始めましょう。