2026年4月18日に発生した(Kelp DAO)の脆弱性悪用事件は、分散型金融(DeFi)エコシステム全体を揺るがす深刻な事態へと発展しました。
この事件で不正に流出した資産のうち、ネットワーク上で凍結された30,766枚のイーサリアム(ETH)を巡り、現在ニューヨークの連邦地裁において前代未聞の法的バトルが繰り広げられています。
DeFi大手プロトコルであるAaveは、米国法律事務所による差し押さえ通知の解除を求める緊急申し立てを行い、暗号資産の「所有権」と「被害者救済」の在り方を巡って真っ向から対立しています。
この裁判の行方は、今後のDeFi業界における資産凍結と法的執行の先例となる可能性が高く、世界中の投資家や開発者から注目を集めています。
事件の背景：Kelp DAOハッキングとAaveへの波及
事件の発端は2026年4月18日、リキッド・リステーキング・プロトコルである(Kelp DAO)がハッキングを受けたことに遡ります。
犯人はクロスチェーン・ブリッジの脆弱性を突き、裏付けのない偽の(rsETH)を大量に鋳造しました。
この偽の資産を担保として(Aaveプロトコル)から約2億3,000万ドル相当の資産を引き出すという、極めて巧妙かつ悪質な手法が取られました。
その後、(Arbitrum)コミュニティの迅速な対応により、犯人が逃走する前に約7,100万ドル相当のETHをインターセプトし、(Arbitrum DAO)の管理下で凍結することに成功しました。
この凍結資産は、被害を受けたユーザーの損失を補填するための「救済基金」として活用される予定でしたが、ここに米国の法律事務所である(Gerstein Harrow LLP)が介入したことで、事態は複雑化しました。
法的紛争の争点：盗まれた資産は誰のものか
(Gerstein Harrow LLP)は、北朝鮮政府に対して約8億7,700万ドルの勝訴判決を持つクライアントを代理しており、今回のハッキングが北朝鮮のハッカー集団によるものだと主張しています。
同事務所の論理は、「北朝鮮がハッキングによって資産を占有した時点で、その資産は北朝鮮の所有物となり、判決債務の履行として差し押さえが可能になる」という驚くべきものです。
これに対しAave側は、2026年5月4日に提出した緊急申し立ての中で、この主張を「論理、常識、そして法に反する」と厳しく批判しています。
「泥棒が財産を盗んだとしても、その財産の適法な所有権を得ることはできない」というのがAaveの根幹的な反論です。
| 項目 | 法律事務所(Gerstein Harrow)の主張 | AaveおよびDeFiコミュニティの反論 |
|---|---|---|
| 所有権の所在 | ハッキング実行者(北朝鮮)に帰属する | 本来の所有者(Aaveユーザー)に帰属する |
| 差し押さえの正当性 | 北朝鮮の債務返済に充てる権利がある | 盗難品を第三者の借金返済に使うのは違法 |
| 証拠の妥当性 | インターネット上の推測に基づく | 犯人が北朝鮮である確証はなく、推測に過ぎない |
| エコシステムへの影響 | 法的執行の優先 | エコシステムの崩壊と被害者の二次被害を招く |
Aaveが主張する「回復不能な害」とDeFiの安定性
Aaveの弁護団は、裁判所に対して差し押さえ通知を即時に無効化するよう求めています。
その最大の理由は、「資産の凍結継続がAaveプロトコル、ひいてはDeFiエコシステム全体に対して回復不能な損害を与える」という点にあります。
二次的な流動性危機の懸念
凍結されている30,766 ETHは、単なる数字上の資産ではありません。
これは、多くのユーザーが他の取引の担保として利用していた資産の一部です。
これらの資産が長期にわたって拘束され、ユーザーが引き出せない状態が続くと、以下のような連鎖的な被害が発生する恐れがあります。
- (担保価値の欠如による強制清算)：凍結された資産を担保に他のポジションを持っていたユーザーが、証拠金維持率を保てなくなり、意図しない清算に追い込まれる。
- (市場の不安定化)：大規模な清算が連鎖することで、暗号資産市場全体の価格下落を招く。
- (プロトコルの信頼失墜)：スマートコントラクト自体に問題がなくとも、外部的な法的要因で資産が凍結される先例ができることで、分散型プロトコルの利用者が激減する。
Aaveは、もし裁判所が即時の解除を認めない場合、法律事務所側に対して3億ドルの保証金(ボンド)を支払うよう要求しています。
これは、差し押さえ通知によって生じる可能性のある将来的な損害を補償するための最低限の金額であると説明されています。
「DeFi United」：業界を挙げた救済努力
この危機に対して、DeFi業界は(DeFi United)という枠組みを通じて連携を強めています。
これは、(rsETH)の裏付けを回復し、被害を受けた全てのホルダーを救済するための調整努力です。
(Arbitrum DAO)では、凍結されたETHを被害者に返還するための投票が行われており、コミュニティの圧倒的な支持を得ていました。
しかし、今回の差し押さえ通知はこの民主的なプロセスを一時停止させてしまいました。
Aaveは、「善意の第三者(グッド・サマaritans)による資産回収の努力が、不当な法的介入によって妨げられるべきではない」と強調しています。
もし、ハッキング被害から回復した資産が、犯人とは無関係な過去の裁判の債務返済に流用されるようなことがあれば、今後誰もハッキングの追跡や資産回収に協力しなくなるという懸念も示されています。
法律事務所による過去の類似ケース
(Gerstein Harrow LLP)がこのような手法を用いるのは今回が初めてではありません。
同事務所は過去にも、2023年の(Heco Bridge)ハッキング事件や2025年の(Bybit)悪用事件に関連して、凍結資産の引き渡しを求める訴訟を提起しています。
彼らの戦略は、北朝鮮という国家レベルの悪役をハッカーと結びつけることで、法的に凍結された「主のいない資産」を、自分たちのクライアントの債権回収に充てようとするものです。
しかし、Aave側は、今回の資産には明確な「本来の所有者」が存在しており、北朝鮮は一瞬の間、資産を物理的に保持したに過ぎないと反論しています。
これは、宝石店からダイヤモンドを盗んだ泥棒から、通りすがりの善意の市民がそれを取り返した場合、そのダイヤモンドは「宝石店のもの」であって、「泥棒の債権者のもの」にはならないという比喩を用いて説明されています。
まとめ
今回のAaveによる緊急申し立ては、分散型プロトコルにおける「資産の自治」と「法的保護」の境界線を決定づける極めて重要な局面です。
「盗難によって所有権は移転しない」という法的原則を、コードが支配する暗号資産の世界にどう適用するかが問われています。
もし法律事務所の主張が認められれば、ハッキング被害を受けた全てのプロトコルは、将来的に同様の「債権者による横取り」のリスクに晒されることになります。
これは、DeFiエコシステムの安全性を高めるための凍結機能やガバナンス投票を無効化し、バッドアクターを利する結果になりかねません。
裁判所がこの緊急申し立てに対してどのような判断を下すかは、2026年5月中の審理を経て明らかになる見通しです。
被害を受けたユーザーが資産を取り戻し、プロトコルが正常化されるのか、あるいは法的な複雑さがエコシステムの不安定化を加速させるのか。
DeFiの未来を左右する決断の時が迫っています。