DeFi の 4 億 5,000 万ドルの保険パラドックス：記録的なハッキングが発生しても持続可能なカバレッジ市場を構築できない理由

DeFiプロトコルは、2026年第1四半期に145件のセキュリティインシデントを通じて約 4億5,000万ドル を失いました。その筆頭はDrift Protocolにおける1回のトランザクションでTVLの半分以上を流出させた2億8,500万ドルのハッキング事件です。これは、2008年の金融危機がクレジット・デフォルト・スワップ（CDS）の規制を常態化させ、ランサムウェアが5年間で150億ドルのサイバー保険市場を生み出したように、オンチェーン保険がついに一般化するための警鐘となるはずでした。

しかし実際には、DeFi保険セクターが保護している資産は、本来守るべき資産の0.5%未満に留まっています。Nexus Mutual、InsurAce、およびその他のオンチェーン・アンダーライターの有効な補償残高を合計しても、Driftの被害者を救済するには不十分でした。これらの数字は単なる無関心以上の何か、つまりDeFi保険のスケーリングを妨げている構造的な要因が、DeFi自体を機能させている要因と同じであることを示唆しています。一方を壊さずにもう一方を簡単に修正することはできません。

補償のギャップ：その数字はあまりに低い

2026年第2四半期時点で、DeFiの総預かり資産（TVL）は約1,190億ドルです。対して、オンチェーン保険プロトコルによる補償総額は約5億ドル（リステーキングによるキャパシティやパラメトリックプールをどうカウントするかによりますが）に留まっています。これは補償の普及率が約 0.5% であることを意味し、ほとんどの資産クラスで商業保険の普及率が 5～10% に達する伝統的金融（TradFi）の基準と比較しても極めて低い数字です。

言い換えれば、DeFi資本の99.5%は無防備な状態です。明日スマートコントラクトから資金が流出しても、預金者は自ら損失を被ることになります。

この分野のリーダーである Nexus Mutual は、現在約1億9,400万ドルの有効な補償と、スナップショットによりますが1億6,700万ドルから2億8,800万ドルのTVLを保有しています。同プロトコルは技術的には2019年以来、累計で60億ドル以上の補償を提供してきましたが、次にエクスプロイトが発生した際に重要なのは現在有効な残高です。 InsurAce は、12,000件以上の有効なポリシーにわたり約1億8,000万ドルのTVLを保持しています。Risk Harbor、UnoRe、その他の小規模なプロトコルを合わせても、さらに数億ドルが追加される程度です。

参考までに、これらの有効な補償をすべて合計しても、Drift 1件による損失額よりも小さいのです。2026年4月のある1日に発生したプロトコルのエクスプロイト1件だけで、オンチェーン保険業界全体が破産せずに引き受けられる額を超える請求負債が発生したことになります。

2026年第1四半期が示した、リスク対象の変化

見出しの数字も深刻ですが、その実態はさらに悪化しています。FX LeadersやPeckShield、Halbornのオンチェーン・フォレンジックによると、 スマートコントラクトのエクスプロイトは2026年に前年比で約89%減少しました。監査法人の精度は向上しており、形式検証（Formal Verification）もプロダクションコードに使用できるほどコストが下がっています。フラッシュローンを利用したオラクル操作といった古典的な手法は、ほぼ封じ込められました。

しかし、攻撃者はスタックのより高い層へと移行しました。2026年第1四半期の3つの象徴的な出来事がそれを物語っています。

• Drift Protocol（2億8,500万ドル、4月1日）: 北朝鮮のUNC4736グループによる6ヶ月間に及ぶソーシャルエンジニアリングです。彼らは偽のクオンツ会社として仮想通貨カンファレンスに参加し、Driftのセキュリティカウンシルとの信頼関係を築き、管理権限を移譲する耐久性のあるノンス（durable-nonce）トランザクションに本物の署名者から事前に署名を取り付けました。攻撃が実行された時には、マルチシグの署名はすでに有効でした。コードの脆弱性は一切なく、人間が狙われたのです。

• Resolv Labs（2,500万ドル、3月22日）: デルタニュートラルなステーブルコインのミント機能の欠陥により、攻撃者が20万ドルのUSDCを預けて8,000万USRトークン（ペグ価格で8,000万ドル相当）をミントし、流動性が崩壊する前にDEXで約2,500万ドル相当を売り抜けました。これは純粋なプロトコル経済の問題です。数学的に正しくてもインセンティブ設計が壊れている場合、スマートコントラクトの監査では防げません。

• ロングテールのインシデント（合計約1億4,000万ドル）: Step Finance、Truebit、Rhea Finance、およびその他数十の小規模プロトコルが、ブリッジのエクスプロイト、鍵の漏洩、ガバナンス攻撃の被害に遭いました。

このリストに欠けているものに注目してください。それは、Nexus Mutualが当初引き受けるように設計されていたような、純粋なスマートコントラクトのバグです。 Driftの損失は、既存のDeFi補償ポリシーのほとんどで明示的に除外されています。マルチシグ・カウンシルへのソーシャルエンジニアリングは、「スマートコントラクトの不具合」というトリガー条項に該当しないからです。2026年最大のDeFiハッキングは、当時の引き受け定義に照らせば、保険対象外の出来事だったのです。

なぜオンチェーン保険はスケールしないのか

普及率0.5%という数字の背景には4つの構造的な問題があり、それらが連鎖しています。

1. インターネット速度での逆選択（Adverse Selection）

伝統的な保険では、保険会社の方が被保険者よりも多くのデータを持っています。しかしDeFi保険では、すべてのプロトコルのTVL、オラクルへの依存関係、マルチシグのしきい値、デプロイ履歴がオンチェーンで公開され、照会可能です。 洗練されたアクターは、すでにリスクが高いと判断したプロトコルの補償のみを購入します。そして、エクスプロイトが発生する直前に買い増すのです。その結果、アンダーライターは、まさに支払いが発生しようとしているイベントに偏ったポートフォリオを抱えることになります。

Nexus Mutualの対応は、ほぼリアルタイムで調整されるプロトコルごとの価格設定と、アクティブなリスクアセッサーによるガバナンスでした。これはAave、Lido、Uniswapのような、2025年2月に年間保険料が1%を下回った最も評価の高いプロジェクトには機能します。しかし、リスクに対して十分な資金がステーキングされていない新しいプロトコルのロングテールに対しては、意味のある引き受けができずに破綻してしまいます。

2. 複利効果の得られない資本効率

ほとんどの保険プロトコルは、3:1 未満という保守的なカバレッジ・対・資本比率を維持しています。これは、1 ドル のステークされた資本が最大で 3 ドル の補償しか裏付けられないことを意味します。比率が 5 〜 10 倍であることが一般的な従来の再保険や、同じ資本を請求リスクなしで 4 〜 8% の APY で運用できるレンディングプロトコルと比較してみてください。保険のステーキングは、他の DeFi 分野とリスク調整後利回りで競合しなければなりませんが、ほとんどの場合、敗北しています。

2025 年 11 月に行われた Nexus Mutual と Symbiotic のリステーキング の統合は、この問題を解決するための最も興味深い試みです。これにより、同じ ETH でバリデータのセキュリティと保険の引き受けの両方を裏付けることが可能になり、資本効率が 2 倍になります。しかし、リステーキングに裏打ちされた保険は、相関リスクも 2 倍にします。リステーキングのキャパシティを枯渇させるスラッシングイベントは、まさに請求が急増する瞬間です。この計算が実際の弱気相場を乗り切れるかどうかは、今のところ未知数です。

3. 主観的な判断に依存するクレーム（請求）

ほとんどの DeFi 補償ポリシーでは、損失が適格かどうかを判断するためにコミュニティの投票またはクレーム委員会が必要です。これにより、3 つの失敗モードが同時に発生します。

• 正当な請求者が、ガバナンスによる数週間または数ヶ月の遅延に直面する（2020 年の bZx 事件 が依然として典型的な例として引用されますが、このパターンは根本的に変わっていません）。
• 重大な事案が発生するたびに補償の定義が厳格化されるため、次の攻撃ベクトルは常に部分的にスコープ外となる。
• トークンホルダーである投票者には、自らの持ち分を希薄化させるような請求を拒否するという明白なインセンティブがある。

その結果、購入者は実際に回収を試みるまで、自分が何を買ったのか分からないという製品になってしまっています。

4. 保険の対象とすべき事象のカテゴリが変化し続ける

2024 年の補償ポリシーは、スマートコントラクトのエクスプロイトに対して書かれました。2025 年のポリシーにはオラクル障害が追加されました。2026 年のポリシーにはマルチシグの侵害が追加されるかもしれませんが、「カンファレンスで北朝鮮の APT グループによって、あなたのセキュリティ評議会が 6 ヶ月間にわたってソーシャルエンジニアリングされた」というケースはおそらく追加されないでしょう。脅威モデルはポリシーの文言よりも速く進化し、新たな除外事項が増えるたびに購入者の信頼はさらに損なわれます。

パラメトリックな賭け

最も有望な解決策は、人間による請求裁定を完全に排除することです。パラメトリック保険 は、条件が満たされた瞬間に自動的に支払いを行うために、オラクルトリガーを使用します。例えば、ステーブルコインの価格が 6 時間 0.95 ドル を下回った場合、バリデータのスラッシングイベントが発生した場合、オラクルのデータの鮮度が N ブロック以上低下した場合などです。

Etherisc はパラメトリックな USDC デペグ保護を提供しています。いくつかの小規模なプロトコルは、パラメトリックなオラクル障害補償を提供しています。Chainlink の分散型オラクルネットワークは、これらのトリガーの事実上のデータレイヤーとなっており、マルチソースのアグリゲーションによって、初期の試みを脆弱にしていた操作リスクを軽減しています。

このモデルには、即時支払い、ガバナンス不要、主観的な拒否の排除、数学的に監査可能なトリガーといった明確な利点があります。一方で、明確な限界もあります。パラメトリック保険は、観察可能で、測定可能で、かつバイナリ（二者択一）な事象のみをカバーします。プロトコルのコントラクトがコード通りに動作した Drift 型のソーシャルエンジニアリングによる侵害をカバーすることはできません。また、攻撃者が撤退するまでオンチェーンの状態に明らかな異常が現れなかった Resolv 型のミント（鋳造）の欠陥をカバーすることもできません。

2026 年第 1 四半期の DeFi 損失の約 80% は、まさにパラメトリックモデルではトリガーできない種類の事象でした。これは修正可能なバグではなく、設計に組み込まれたトレードオフなのです。

動かすべき数値

業界アナリストは、DeFi 保険の TVL が 2026 年後半までに 50 億 〜 80 億ドル に達し、年間保険料は 2025 年初頭の約 6,000 万ドル から 8 億ドル に達すると予測しています。それでも、補償の普及率はわずか 3 〜 4% にすぎず、伝統的な金融よりも桁違いに低い水準です。2027 年までに 8 〜 12% という普及率の予測は、機関投資家の DeFi 参入によって補償条件の標準化が強制され、リステーキングによる資本効率の向上が引き受けをシニア担保付 DeFi 利回りと競合させることを前提としています。

これらの前提はいずれも楽観的です。補償率を 0.5% から 5% に押し上げる真の要因は、資本の増加やモデルの改善ではなく、保険を必須とする規制イベントです。欧州の MiCA（暗号資産市場規制）の機関投資家向けカストディ規則や、米国の CLARITY 法の最終的な成立 は、いずれも規制対象の DeFi 参加者に対する補償要件を検討しています。もし機関投資家の流動性提供者が、商業運送会社が自動車保険を提示するのと同じように保険証明書を提示しなければならなくなれば、需要はようやく供給に見合う規模に拡大するでしょう。

それが実現するまでは、0.5% という数字は正直な市場のシグナルを反映しています。DeFi ネイティブのユーザーは、コスト、除外事項、および請求プロセスを検討した結果、ポートフォリオの分散による自己保険の方が安上がりであると結論付けたのです。彼らは正しいのかもしれません。

プロトコルビルダーにとっての意味

2026 年に DeFi インフラを構築している場合、運用上の示唆は明確です。「ユーザーは実質的な補償を持っていない」と想定し、それに応じた設計を行うこと です。具体的には以下の通りです。

• 現時点では、スマートコントラクトの監査よりも運用セキュリティへの投資が重要です。Drift への攻撃は、さらなる形式検証パスではなく、より長いマルチシグのタイムロックによって防げたはずです。
• 補償イベントのための財務準備金（トレジャリーリザーブ）は、オプションではなく期待されるものになっています。2025 年から 2026 年にかけて評判を維持したまま生き残ったプロトコルは、実体のない保険をあてにせず、財団のトレジャリーからハッキング被害者に支払ったプロトコルです。
• API やインフラへの依存は、コントラクトへの依存と同じくらい重要です。インフラレベルの攻撃が主流となっている現在、RPC レイヤー、オラクルフィード、およびデータインデックス作成の信頼性は、セキュリティに直結します。

BlockEden.xyz は、Sui、Aptos、Ethereum、および 25 以上の他のチェーンにおいて、本番環境グレードの RPC およびインデックス作成インフラストラクチャを提供しています。DeFi プロトコルが主要なセキュリティ境界としてますます必要としている運用上の冗長性を備えています。2026 年に実際に存在する脅威モデルに合わせて設計されたインフラストラクチャについては、当社の API マーケットプレイスをご覧ください。

率直な結論

現在の形態における DeFi 保険が失敗しているのは、悪意のあるアクターや不十分なイノベーションが原因ではありません。それが失敗している理由は、提供される商品と保護対象資産のリスクプロファイルとの間に、漸進的な修正では解決できない構造的な不一致があるためです。スマートコントラクトの脆弱性を突いた攻撃（エクスプロイト）は減少傾向にあり、保険が引き受け可能な事象は縮小しています。ソーシャルエンジニアリングや運用上の侵害が増加しており、実際に損失を引き起こす事象のほとんどはオンチェーンでは保険の対象外となります。

2026 年第 1 四半期の 4 億 5,000 万ドルという数字では、これを解決することはできません。次の 4 億 5,000 万ドルでも同様です。解決策となる可能性があるのは、規制による義務付け、より広範な事象セットを対象としたパラメトリック・カバレッジ、あるいはソーシャルエンジニアリングのリスクを個別の補償商品としてではなくプロトコルレベルの準備金に価格転嫁する、根本的に新しいアーキテクチャです。それまでは、DeFi は自己保険型の業界であり続け、ユーザーはアクセスにかかるコストとして、毎年一定割合の資本が失われることを暗黙のうちに受け入れている、というのが正直な見方です。0.5% というカバレッジ率は、解決を待つ市場の失敗ではなく、市場の均衡点（マーケット・クリアリング）なのです。