4月に暗号通貨ハッキングが記録的高値に達し、20+の脆弱性がDeFiを揺るがす

ハッカーたちは2026年4月だけで、20〜30の別々の攻撃を通じて6億2,500万ドル以上を盗んだ。これは、ほぼ毎日1回の攻撃に相当する。DefiLlamaはX（旧Twitter）にチャートを投稿し、4月は1日あたりほぼ1回の攻撃の平均であったのに対し、過去の月間記録は12〜15件の事件を超えることはめったになかったことを示した。

これは過去の全四半期の合計を上回り、その月をセキュリティ侵害の記録的高値へと押し上げた。

なぜ2つの攻撃でほぼすべての被害が生じたのか？

いくつかの高インパクト 事件 がその月を定義した。2026年4月1日、Drift Protocolは2億8,500万ドルを失った。北朝鮮のグループはDriftの従業員との信頼関係を築くのに約6ヶ月を費やし、事前に署名された出金指示を使用してわずか12分で資金を盗んだ。

以前 Cryptopolitan, KelpDAOは4月18日にこれに続き、攻撃者が実態のないトークンの放出をシステムに促したことで2億9300万ドルを失った。

両方の攻撃は北朝鮮に由来していたが、異なる手法を使用しており、DeFi業界が準備できていなかったレベルの洗練さを示していた。これら2つの事件だけで、4月の損失の大部分を占めた。これは、少数の洗練された攻撃がDeFiエコシステムの大きな部分を不安定化させることができることを示している。

なぜ1つのハックがKelpDAOとは無関係の数十億ドルの資金を凍結させたのか？

KelpDAO攻撃の背後にあるグループは、盗まれたトークンをAaveに担保として預け入れ、それらに対して約1億9,000万ドルの実質的なイーサリアムを借り入れた。 

Aaveは現在、実質的なローンの担保として価値のないトークンを保有しており、プラットフォームの預金はわずか48時間で264億ドルから約179億ドルに減少した。 プラットフォームのステーブルコインプールは100%の利用率に達し、Galaxy Researchによると、Aaveの不良債権は1億2,370万ドルから2億3,000万ドルの間になった。

攻撃から数日以内に、ユーザーがパニックになり資金を引き出し始めたため、130億ドル以上がDeFiプロトコルから流出した。 Morpho、Spark、Lido、Yearn、Beefy、そしてイーサリアム自体のようなプラットフォームは、業界全体の信頼が崩壊したため、大量の流出により特定の運用を凍結した。

これらの出来事は、TVL、ユーザーの信頼、評価、そして空間全体の士気に見られる collateral damage（副次的な被害）を説明するものではない。「リスクが適切に価格設定されるまで、DeFiはニッチな市場であり続ける」と、BeInCryptoによって引用されたDeFiアナリストは語った。

誰が責任を負い、合計でどれだけの金額を盗んだのか？

TRM Labsによると、北朝鮮の政府支援ハッキングユニットは、2026年4月までのすべての暗号通貨ハッキング損失の75%（総額7億5,900万ドル中5億7,700万ドル）の責任を負っていた。

国連、米国財務省、および複数のブロックチェーンインテリジェンス企業によって文書化されているように、北朝鮮は厳格な国際制裁のため、政府と兵器プログラムを資金調達するために暗号通貨を盗んでいる。 TRM Labsは、北朝鮮が2017年以降に60億ドル以上の暗号通貨を盗んだと報告した。

「私たちが注目しているのは、より広範な北朝鮮のキャンペーンではなく、より鋭いものである」と、TRMLabsのグローバル・ポリシー・アンド・ガバメント・アフェアーズ・グローバル・ヘッドであるアリ・レッドボルド氏は語った。「北朝鮮はこれまでになく速く、より正確に動いている。」

4月の残りの部分、2つの大きな攻撃以外では何が起こったのか？

Rhea Finance は4月10日に1,840万ドルを失った。Tetherは時間内にその資金の329万ドルを凍結したが、攻撃者はフラッシュローンを使用して価格を操作し、残りの金額のプールを空にした。

同様に、キルギスに拠点を置く暗号通貨取引所 Grinex, 4月15日にハッカーによって資金が54のウォレットに分割され、SunSwapに変換されて追跡が困難にされたことで、1374万ドルのUSDTを失った。 HyperbridgeもPolkadotネットワーク上で250万ドルを失い、CoW Swapは4月14日に120万ドルを失った。

オンチェーンアナリストのWazzは4月29日にXで、「何百ものウォレット（その多くは7年以上アクティブではなかった）が、ETHメインネット上の同じアドレスによってドレインされた」と投稿した。彼はさらに、「新しいライブな脆弱性のようだ。フラグを立てる価値がある」と付け加えた。

しかし、それはそこで終わらなかった。Wasabi Protocolは4月の最終日に、攻撃者が侵害されたデプロイメントキーを使用してシステムを悪用したことで約500万ドルを失った。

DeFiは安全になっているのか、それとも危険になっているのか？

どちらとも言える、見方による。 例えば、攻撃後の対応時間は年々大幅に改善しており、KelpDAO事件後に14以上の組織がDeFi Unitedレスキューファンドに3億ドル以上を拠出することを約束した。

Arbitrumセキュリティカウンシルは、数年前には不可能だった緊急権限を使用して攻撃者の資金7,100万ドルを凍結した。 

しかし、攻撃も防御が追いつくよりも速く進化しており、4月の2つの最大の事件は人間の操作を悪用した。数年前、ほとんどのハッキングはスマートコントラクトのバグを悪用していた。

損失がこのペースで続き、同じ数のハッキングが発生した場合、業界は将来の数ヶ月で約75億ドルを失う可能性がある。これは2024年の損失の3倍である。