この記事のポイント
- ArbitrumのSecurity Council（セキュリティ評議会・12名構成）が、KelpDAO関連プロトコルへの攻撃を受けて約7,000万ドル相当のETHを数時間以内に緊急凍結
- 「分散型ブロックチェーンが中央集権的な介入を行う」ことの是非について、業界全体で議論が再燃
- 今後のガバナンス改革・資金返還プロセス・規制当局の動向が注目される
何が起きたのか
2026年4月、Arbitrum（イーサリアムのレイヤー2ソリューション）上で展開されているKelpDAO関連プロトコルにおいて、セキュリティ上の脆弱性を突いた攻撃が発生しました。
攻撃により約7,000万ドル相当のETHが危険にさらされる事態となり、Arbitrumの緊急対応組織「Security Council」が資金の凍結を迅速に実行しました。
| 項目 | 内容 |
|---|---|
| 被害額 | 約7,000万ドル相当のETH |
| 対象 | KelpDAO関連プロトコル（Arbitrum上） |
| 対応 | Security Councilによる資金凍結 |
| 対応時間 | 攻撃検知から数時間以内 |
Security Councilとは何か
ArbitrumのSecurity Councilは、重大なセキュリティリスクが発生した際に迅速な意思決定と実行を行うための緊急対応組織です。
コミュニティによって選出された12名のメンバーで構成され、通常のガバナンス投票（数日〜数週間を要する）をバイパスして、スマートコントラクトのアップグレードや資金凍結を即時実行できる権限を持ちます。
今回この仕組みが機能し、数時間以内に凍結が実現しました。ただし、この迅速な対応が可能であるということは、裏を返せば「特定の組織が中央集権的な権限を持っている」ことを意味します。
再燃する議論：介入すべきか、すべきでないか
今回の措置は、暗号資産業界で長年続いている根本的な問いを再び呼び起こしています。
介入賛成派の主張
ユーザー保護を最優先とし、資金が失われる前に行動すべきという立場です。選出されたSecurity Councilの判断には正当性があり、大規模攻撃を放置すればプラットフォーム全体の信頼が失墜するという現実的な視点です。
介入反対派の主張
「Code is Law（コードが法律）」というブロックチェーンの基本理念に反するという立場です。今回は善意の介入でも、悪用される前例になりかねず、特定組織が権限を持つ時点で従来の中央集権システムと本質的に変わらないとする批判です。
この議論は2016年の「The DAO事件」（イーサリアムがハードフォークで攻撃に対応した事例）以来、業界が何度も直面してきた問いです。どちらの立場にも一定の正当性があります。
主要ブロックチェーンの緊急対応体制
こうした緊急対応の仕組みはArbitrumに限りません。レイヤー2ソリューションの多くが何らかの中央集権的要素を残しています。
| ブロックチェーン | 緊急対応の仕組み | 特徴 |
|---|---|---|
| Arbitrum | Security Council（12名） | 迅速な意思決定が可能 |
| Optimism | Security Council（類似組織） | 段階的な分散化を進行中 |
| Polygon | マルチシグ管理者 | より中央集権的な構造 |
| Ethereum | なし（コミュニティ合意のみ） | 高度に分散化されているが対応に時間がかかる |
| Solana | バリデータの合意 | ネットワーク停止の経験あり |
レイヤー2は「スピードとセキュリティのトレードオフ」として中央集権的な要素を意図的に残しているとも言えます。
KelpDAOとrsETHについて
今回攻撃の対象となったKelpDAOは、イーサリアムのステーキングに流動性を提供するプロトコルです。ユーザーがETHを預けると、代わりにrsETH（流動性ステーキングトークン）を受け取り、そのrsETHを他のDeFiプロトコルで運用しながらステーキング報酬も得られる仕組みです。
この「預けた資産を固定せずに運用できる」柔軟性が人気を集めていましたが、その複雑な仕組みが今回の脆弱性につながった可能性があります。高い利回りを謳うプロトコルほどスマートコントラクトのリスクも高いという原則を、改めて示す事例となりました。
今後の展開
事件を受けて、Arbitrumコミュニティでは以下の論点について議論が進んでいます。
凍結された7,000万ドルを正当な所有者へどのように返還するかというプロセスの確立、Security Councilの権限を制限・拡大するかというガバナンス改革の議論、介入の基準とプロセスをより明確に定義するための透明性向上、そして同様の攻撃を防ぐためのプロトコル技術アップデートです。
多くのレイヤー2プロジェクトが「最初は中央集権的に、段階的に分散化」というロードマップを掲げる中で、今回の事件がその道筋にどう影響するかが注目されます。
規制リスクへの視点
今回のような「介入できる組織の存在」は、規制当局にとっても重要な判断材料になり得ます。「介入できるなら責任も負うべき」という論理が成り立つ場合、Security Councilの存在は「実質的な管理者がいる」とみなされ、従来の金融サービスに近い規制適用の対象になる可能性があります。
分散型を標榜するプロジェクトにとって、これは両刃の剣です。日本では暗号資産規制がすでに厳格であるため、ArbitrumなどのL2を国内から利用する際はこうした規制リスクも考慮に入れておく必要があります。
DeFiユーザーとして今できること
今回の事件から得られる実践的な教訓は以下の通りです。
資産の分散として、全資産を一つのプロトコルに集中させないことが基本です。監査状況の確認として、利用するプロトコルがセキュリティ監査を受けているかを事前に確認してください。DeFi保険の活用として、Nexus MutualなどのDeFi保険プロトコルへの加入も選択肢の一つです。公式情報の継続的な収集として、X（旧Twitter）やDiscordで対象プロトコルの公式アカウントをフォローしておくことを推奨します。
⚠️ この記事は公開情報をもとに構成しています。最新の対応状況はArbitrum公式ガバナンスフォーラムをご確認ください。投資判断はご自身の責任で行ってください。
まとめ
ArbitrumによるKelpDAO関連ETHの緊急凍結は、「DeFiの安全性」と「分散型の原則」という二つの価値が衝突する構造的問題を改めて浮き彫りにしました。
完全な分散化と現実的なユーザー保護の間でどのバランスを取るかは、業界全体が過渡期にある今、明確な正解のない問いです。重要なのは、このトレードオフを理解したうえでプロジェクトを選択し、リスクを適切に管理することです。
参考リンク
- Arbitrum 公式ガバナンスフォーラム — Security Councilの議論・最新対応
- Arbitrum Security Council 概要 — 組織の仕組みと権限の公式解説
- KelpDAO 公式 — rsETH発行元の公式情報・インシデント対応
- L2Beat — Arbitrumのリスクスコア — 分散化スコア・セキュリティ評価が一覧できる
- Nexus Mutual（DeFi保険） — スマートコントラクト保険の加入
- The DAO事件の経緯（Ethereum.org） — 2016年の同種の議論との比較資料
コメント