メインコンテンツまでスキップ

Aave の SOC 2 Type II：DeFi 初の企業向けコンプライアンス監査が機関投資家資本をいかに解禁するか

· 約 18 分
Dora Noda
Dora Noda
Software Engineer

10 年間、銀行に向けたあらゆる DeFi のピッチデックは、同じ壁にぶつかって終わっていました。プロトコルの TVL は巨大で、スマートコントラクトの監査は 5 重にも積み重ねられ、利回りは金融機関が自社のデスクで調達できるいかなるものよりも優れていました。しかし、調達チームがひとつの質問 ――「SOC 2 はどこにありますか？」―― を投げかけた途端、取引は沈黙しました。

2026 年 4 月、Aave Labs はその問いに答えました。最大級の分散型貸付プロトコルの背後にあるチームは、Aave Pro、Aave Kit、および Aave App 全体にわたって、セキュリティ、可用性、および機密性をカバーする SOC 2 Type II 認証を取得しました。これは、トップクラスの DeFi プロトコルが、エンタープライズ SaaS プロバイダー、クラウドプラットフォーム、および規制対象の金融インフラに求められるものと同じ運用管理の基準をクリアした初めてのケースです。

これは、暗号資産界隈の人々が本能的に熱狂するようなプレスリリースではありません。トークンのアンロックも、TVL の急上昇も、エアドロップもありません。しかし、実際に参入することなく 2 年間 DeFi の周りをうろついていた銀行のリスク委員会、資産運用のコンプライアンス担当者、そして企業の財務担当者にとって、この認証は最後の構造的障壁のひとつを取り除くものです。そして、それは「トラストレス」という言葉が持つ意味を変えることになります。

なぜ DeFi において突然 SaaS 監査基準が重要になったのか​

SOC 2（AICPA が管理する System and Organization Controls フレームワーク）は、エンタープライズ企業の調達チームが導入を許可するかどうかを決定する認証です。Slack 級のあらゆる B2B SaaS ベンダーの命運は、これにかかっています。Type I は管理体制があることを示し、Type II はそれらの管理体制が 6 か月以上の継続的な観察期間を通じて、実際に継続して機能したことを証明します。

報告によると、Aave の認証では、プロトコルのリリースライフサイクルに適用される開発ワークフロー、ソフトウェア保護、情報処理手順、および運用慣行が調査されました。それは、エンジニアがどのように本番環境へのアクセス権を得るか、インシデントがどのように検知されエスカレーションされるか、データフローがどのように文書化され、変更管理がどのように承認されるかといった、地味な運用メカニズムです。

DeFi は歴史的に、この種の評価に対して「プロトコルこそが契約であり、契約こそが監査である」という妥当な主張で対抗してきました。Trail of Bits、OpenZeppelin、および Certora は、Solidity の敵対的なコードレビューにおいてビジネス全体を築き上げてきました。不変のインフラの上に、なぜマネージドサービスの監査が必要なのでしょうか？

その答えは、2024 年から 2025 年にかけて避けて通れないものとなりました。スマートコントラクトの監査は、ある一時点のコードを確認するものです。それは規制対象の投資家に対し、開発チームが午前 2 時のゼロデイ脆弱性の公開にどのように対処するか、フロントエンドのデプロイメントパイプラインの鍵を誰が持っているか、マルチシグの署名者がフィッシング耐性のある多要素認証（MFA）を使用しているか、あるいはチームのベンダーリストに既知の侵害された npm 依存関係が含まれていないか、といったことを教えることはできません。これらは組織的な問いであり、SOC 2 Type II はエンタープライズのリスク管理チームがそれらを尋ねるために使用する言語なのです。

調達の壁についての簡単な説明​

規制対象の金融機関にソフトウェアを販売したことがない方のために、取引が破談になるワークフローを説明します。銀行のビジネススポンサーが DeFi プロトコルを利用したいと考え、ユースケースを作成します。そのユースケースはベンダーリスク管理チームに送られ、そこから 200 問のセキュリティアンケートが返ってきます。問 14 は「過去 12 か月以内の SOC 2 Type II レポートを提出してください」というものです。2026 年まで、この項目にチェックを入れられる DeFi プロトコルは存在しませんでした。

代わりの回答 ――「私たちは分散化されており、コントラクトは不変です。ここに 7 つの Trail of Bits のレポートがあります」―― は、知的には正しくても、手続き上は無用でした。ベンダーリスクの枠組みは、トラストレスに関する哲学的な弁明ではなく、認められた管理認証に基づいて構築されています。「CEO がいない」ことに対する ISO 27001 相当の基準は存在しないのです。

Aave の SOC 2 は、DAO ガバナンスを与信委員会に説明する際の気まずさを解消するものではありませんが、契約に至る前にパイロットプロジェクトを頓挫させていた手続き上のステップを満たします。それがエンタープライズ営業における「可能（Possible）」と「実行可能（Executable）」の差です。

カストディレイヤーへの追いつき​

Aave が暗号資産の世界に SOC 2 を初めて導入したわけではありません。カストディおよび取引所のレイヤーは、数年前にそこに到達していました。

  • Fireblocks は、ISO 27001、SOC 1 Type II、ISO 27017/27018、および CCSS レベル 3 と並んで SOC 2 Type II を保持しています。
  • Coinbase Custody は、Deloitte & Touche による SOC 1 Type II および SOC 2 Type II の監査を受けています。
  • BitGo は、適格カストディアンに期待される SOC 認証を取得しており、約 2 億 5,000 万ドルから 3 億 2,000 万ドルの Lloyd's of London による保険を付帯しています。

カストディアンがこの基準をクリアしたのは、そうせざるを得なかったからです。彼らの製品そのものが「お客様の資産を預かり、信頼に足る存在であること」だからです。取引所も、機関投資家向けブローカーとしての理由からそれに続きました。これまで欠けていたのは、プロトコルレイヤーです。銀行は Coinbase で資産を保管し、Fireblocks を通じて取引をルーティングすることはできましたが、反対側の貸付プロトコルに同等の認証がなかったため、実際にオンチェーンで資本を運用する場所がありませんでした。

Aave の SOC 2 は、アセット側のそのギャップを埋めるものです。垂直的な機関投資家向けスタックは現在、以下のようになっています：適格カストディアン（SOC 認証済み）→ 取引および決済プラットフォーム（SOC 認証済み）→ 貸付プロトコル（SOC 認証済み）。すべてのリンクが、同じチェックリストを使用するベンダーリスク管理チームにとって解読可能なものになりました。

Horizon：5 億 5,000 万ドルの「くさび」​

この認証は、孤立した状況で行われているわけではありません。それは Aave Horizon — Aave が適格な機関投資家向けに、米国債などのトークン化された現実資産（RWA）を担保にステーブルコインを借り入れるために立ち上げた許可型市場 — の上で展開されています。

Horizon の純預金額は現在、約 5 億 5,000 万ドルに達しており、Aave の 2026 年までのロードマップでは、Circle、Ripple、Franklin Templeton、および VanEck との提携拡大を通じて、年末までに 10 億ドルを目指しています。これらは、日和見的な仮想通貨に興味があるだけのカウンターパーティではありません。実際の機関投資家のポートフォリオに含まれるトークン化資産の発行体であり、ベンダー・リスク委員会が認識しているまさにその名前です。

Horizon は需要のシグナルです。SOC 2 は調達の有効化要因です。これらは常にセットで提供されるべきものでした。一方がなければもう一方は不完全です。コンプライアンス証明がない許可型 RWA 市場はベータ製品に過ぎません。導入先となる機関投資家グレードの会場がない SOC 2 証明は、誰も求めていない資格です。これらが組み合わさることで、一つの仮説が成り立ちます。それは、DeFi の次の成長段階は、これまで参入できなかった資本が、今や参入できるようになったそのドル換算のボリュームによって測定される、というものです。

「コード と 組織の両方を信頼する」時代へ​

ここでのより深い変化は、DeFi が自らについて何を主張しようとしているかにあります。

2020 年当時の売り文句は「コードを信じろ（Trust the code）」でした。スマートコントラクトは決定論的であり、監査は公開され、ガバナンスはオンチェーンで行われます。したがって、プロトコルはそのソフトウェアのみに基づいて評価されるという理屈です。このストーリーは、真実のソースとして Etherscan を使い、サポートデスクとして Discord チャンネルを使うことに抵抗がないクリプトネイティブなユーザーには有効でした。

しかし、機関投資家の層には決して通用しませんでした。なぜなら、真のアロケーターはコードのリスクだけでなく、カウンターパーティのリスクを評価するからです。彼らが知りたいのは、誰がフロントエンドのリポジトリにプッシュできるのか、チームのドメイン登録業者がソーシャルエンジニアリングされたらどうなるのか、オンコールのエンジニアがライブエクスプロイトに対応するために必要なアクセス権を持っているのか、そしてインシデント対応のリハーサルが行われているか、といった点です。これらはどれもスマートコントラクトには含まれていません。しかし、そのすべてが SOC 2 の範囲に含まれています。

新しい売り文句は「コードとそれを運営する組織の両方を信頼せよ（trust the code AND the organization）」です。これはスローガンとしてはスマートさに欠けますが、他のあらゆる規制対象の金融インフラが実際に評価される方法と一致しています。AWS が信頼されているのは S3 がオープンソースだからではありません。Amazon の管理体制が監査されているからです。Visa が信頼されているのはカードネットワークが数学的に安全だからではなく、VisaNet が数十年にわたる証明された運用実績を持っているからです。DeFi も今、その土俵で戦い始めています。

これにはコストが伴います。暗号資産のプロトコル層は、組織的な信頼が重要ではない場所であるはずでした。SOC 2 は、中央集権的なチームの概念 — Aave Labs、Avara という実体、エンジニアリング組織 — を、一般的な企業に不快なほど似た形で信頼モデルに再導入します。分散化至上主義者の反対意見はもっともです。それに対する反論は、2026 年に機関投資家からの資金流入を受け取ることができる唯一の DeFi プロトコルは、普通の企業のように監査を受ける意思があるプロトコルだけであり、これら 2 つのグループの間の溝は急速に広がるだろう、というものです。

他のプロトコルが今、下さなければならない決断​

Aave は新たな最低基準を設定しました。他のすべてのトップティア DeFi プロトコルは今、12 ヶ月の猶予期間を伴う戦略的な問いに直面しています。SOC 2 証明を追求するのか、それとも Aave が規制対象のフローに対して構造的な優位性を積み上げる中で、クリプトネイティブな資本のみを奪い合うことを受け入れるのか。

最も明白な動機を持つ候補は以下の通りです：

  • Uniswap Labs — 同じ調達に関する問いの取引側に位置しています。フロントエンドと Uniswap X インフラにおける SOC 2 証明は、現在 OTC デスクを経由している機関投資家のスワップフローを解放するでしょう。
  • Maple Finance — すでに機関投資家向けのクレジットを提供しており、クリプトネイティブな機関投資家に対応することで TVL を 5 億ドルから 40 億ドル以上に成長させました。SOC 2 は、銀行ティアのカウンターパーティへの自然な進展です。
  • Morpho — 厳選されたボールト（Vault）を使用して、積極的に機関投資家向けの姿勢を構築しています。Aave Horizon に対する競争力は、コンプライアンス認証の一致にかかっています。
  • Compound、Spark、Pendle — それぞれが、機関投資家の利回りをどの程度直接ターゲットにしているかに応じて、異なる緊急性で同じ問いに直面しています。

最初に動くプロトコルは、Stripe が初期の決済プロセッサーに対して持っていたのと同じ優位性を持つことになるでしょう。それは、より優れた製品ではなく、買い手がより早く「イエス」と言えるような調達のストーリーです。動かないプロトコルは、オンチェーンの指標がどれほど優れていても、DeFi への次の 1,000 億ドル以上の流入から構造的に排除されるリスクがあります。

依然として重要なもう一つの監査​

これらのどれも、スマートコントラクトの監査に取って代わるものではありません。2 つの評価は、重複しないリスク領域をカバーしています。SOC 2 は、新しい資産の上場におけるリエントランシー（再入可能性）バグを見つけることはできません。Trail of Bits のレビューは、日曜日の午前 3 時にオンコールのエンジニアを実際に呼び出せるかどうかを教えてはくれません。DeFi に対する先進的な機関投資家のリスクフレームワークは、両方の証明が必要とされる階層型モデルに収束しつつあり、さらにランタイム・モニタリング、クリティカル・パスの形式検証、および有意義な支払レベルでのバグバウンティプログラムへの要求も高まっています。

Aave は、そのコードベースが DeFi 史上最も重厚に監査されているものの一つであり、バグバウンティプログラムが長年大規模に運用されているため、ここでは有利な立場にあります。監査履歴が浅い状態から始めるプロトコルにとって、SOC 2 プロセスは、運用管理を評価する前に修正しなければならない隣接するギャップ — 変更管理、ベンダー目録、アクセスレビューなど — を浮き彫りにするでしょう。認証のタイムラインは、開始から最初の Type II レポートまで通常 9 〜 18 ヶ月かかります。これは、機関投資家による DeFi 採用の趨勢が決まる時期ともほぼ一致しています。

インフラストラクチャ・プロバイダーにとっての意味​

SOC 2 の連鎖はプロトコルにとどまりません。プロトコルやその機関投資家カウンターパーティが依存するインフラストラクチャ — RPC エンドポイント、インデクサー、データ・プロバイダー、署名サービス — も、同じコンプライアンスの枠組みに引き込まれます。Aave を承認したばかりの銀行のベンダー・リスク・チームは、取引に関わるすべての依存関係に対して、同じ SOC 2 の質問を投げかけることになるでしょう。

これは、これまで「ベストエフォート」の信頼性モデルで運営されてきた Web3 インフラストラクチャ・スタックの一部にとって、不都合なものとなるでしょう。SLA なしでダウンする RPC ノード、非公式な変更管理を行っているインデクサー、文書化されたアクセス制御のないキー管理サービスなどは、本格的な機関投資家によるベンダー審査をパスすることはできません。インフラ・レイヤーは、プロトコル・レイヤーが乗り越えたばかりの調達に関する議論に直面しようとしています。

早期に基準を満たしたプロバイダーが、機関投資家のデフォルトとなります。基準を満たせないプロバイダーは、クリーンな SOC 2 を持つ競合他社が現れた瞬間に取って代わられるでしょう。

BlockEden.xyz は、Sui、Aptos、Ethereum、および 20 以上の他のチェーンにわたってプロダクション・グレードの Web3 インフラストラクチャを運営しており、機関投資家が DeFi スタックのあらゆるレイヤーに求め始めている高度な運用規律を備えています。当社の API マーケットプレイスを探索して、機関投資家時代向けに設計されたインフラストラクチャ上で構築を開始してください。

静かなる転換点​

1 つのアテステーション（証明）が持つ意味を誇張しすぎることは可能です。Aave の SOC 2 だけでは、来四半期に銀行ティアの資本が Horizon に押し寄せることはないでしょう。調達サイクルは遅く、DeFi への参加に関する法的強制力や会計上の問題は依然として部分的に未解決のままです。パーミッション型の Aave 市場を通じて融資を行う最初の政府系ファンドが登場するのは、早くても 2027 年の話になるでしょう。

しかし、これは曲線が曲がった後で、後から振り返って指摘されるような瞬間です。2020 年と 2021 年のサイクルはオンチェーンの仕組みを構築しました。2024 年と 2025 年のサイクルは、規制とトークン化資産のレールを構築しました。2026 年のサイクルは、外部から様子を伺っていた機関投資家が実際にすべてを利用できるようにするための、運用の信頼レイヤーを構築しています。

Aave の SOC 2 Type II は、その壁における最初のプロトコル・レイヤーの煉瓦です。それが壁であることを理解し、今すぐそれに向けて構築を開始するプロトコルが、DeFi の次の 10 年を定義することになるでしょう。規制当局や監査人が来るのを待っているプロトコルは、オンチェーン TVL がなぜ誰もが予測し続ける機関投資家のフローに変換されなかったのかを説明することに、その 10 年を費やすことになります。

信頼のインフラストラクチャは、1 つのアテステーションごとに再構築されています。Aave は最初の一歩を踏み出したばかりです。

Share on Twitter