Kelp DAO、rsETH攻撃レポートに異議を唱え、LayerZeroのデフォルトを指摘

Kelp DAOは、rsETHクロスチェーンブリッジインシデントをエクスプロイトとして特徴付ける報告書に対し公式に異議を唱え、意図的な攻撃ではなくLayerZeroのデフォルト設定が、報告された2億9000万ドルの損失の原因であると主張している。この論争は、4月18日のインシデントを外部からのエクスプロイトからインフラ設定の失敗へと再定義するものである。

rsETHブリッジ攻撃報告書が主張した内容

報告された損失内容

CredShieldsが公開したセキュリティ評価では、rsETHブリッジインシデントをKelp DAOのクロスチェーンブリッジインフラに関わるエクスプロイトと説明し、約2億9000万ドルの損失を引用している。報告書は意図的な外部攻撃と一致する表現を使用していた。

インシデントがブリッジ攻撃として説明された理由

CredShieldsの報告書は、エクスプロイトという用語を使用してこの事象をフレーム化し、脅威アクターがブリッジメカニズムの脆弱性を特定し悪用したことを示唆している。この特徴付けは、インシデントを運用上の失敗としてではなく、他の著名なDeFiブリッジハッキングと並べて位置付けるものであった。

しかし、見出しの文言自体が異議のある特徴付けを示している。Aaveガバナンススレッドに記録されたKelp DAOの対応は、エクスプロイト優先の解釈に直接異議を唱えている。

Kelp DAOが攻撃の説明に異議を唱える理由

Kelp DAOの中心的な反論

Aaveガバナンスディスカッションで提示されたKelp DAOの反対意見は、攻撃というラベルを完全に否定している。プロトコルは、損失は敵対者が新たなエクスプロイト経路を発見したことではなく、LayerZeroのクロスチェーンメッセージングデフォルトの設定方法に起因すると主張している。

これは些細な意味上の区別ではない。インシデントを攻撃として分類することは、外部脅威に対する防御におけるセキュリティの怠慢を意味する。設定の失敗として分類することは、責任をインフラのデフォルト設定と統合の選択に移すことになる。

報告書のどの部分が争われているか

Kelp DAOは因果関係のメカニズムと暗黙の物語の両方に異議を唱えている。プロトコルは損失が発生したことは否定していないが、CredShieldsによるその損失がどのように、そしてなぜ発生したかの特徴付けに異議を唱えている。

対立は具体的である:CredShieldsの報告書はエクスプロイトベクターに原因を帰しているが、Kelp DAOのガバナンス反論は、保護されるべき価値に対して不十分であったLayerZeroデフォルトパラメータに原因を帰している。

LayerZeroのデフォルト設定が焦点となった経緯

Kelp DAOの説明におけるデフォルト設定の役割

ガバナンススレッドにおけるKelp DAOの説明によると、LayerZeroのクロスチェーンメッセージ検証のデフォルト設定は、高額なブリッジ資産に必要なセキュリティ保証を欠いていた。プロトコルは、これらのファクトリーデフォルト設定が、高度なエクスプロイトを必要とせずに損失の条件を作り出したと主張している。

クロスチェーンメッセージングにおけるデフォルト設定は、トランザクションがネットワーク間でどのように検証されるかを決定する。変更されないまま放置されると、100ドルの送金と1億ドルの送金に同じ検証閾値が適用され、価値に比例したリスクが比例したセキュリティなしで生じる可能性がある。

設定の問題が攻撃の主張とどう異なるか

Kelp DAOのフレーミングが正しければ、インシデントはクロスチェーンインフラを構築するプロトコルと、それらが依存するメッセージングレイヤーとの間の共有責任の問題となる。これは、外部の攻撃者がゼロデイ脆弱性を発見したシナリオとは根本的に異なる。

関連するクロスチェーンインシデントにおけるLazarus Groupを可能性の高いアクターとしてLayerZeroが認めたことを指摘する別の報告書は、複雑性を加えている。ブリッジインフラを標的とする国家レベルの脅威アクターの存在は、この特定のインシデントに対するエクスプロイトまたは設定のフレーミングのいずれかを自動的に検証するものではない。

2億9000万ドルの損失がrsETHとDeFiリスクにとって意味すること

2億9000万ドルという数字が重要な理由

報告された損失は、これを2026年最大のDeFiインシデントの一つに位置付ける。rsETH保有者およびrsETHエクスポージャーを持つプロトコルにとって、根本原因の決定は、回復の期待、保険請求、および今後の資産への信頼に直接影響する。

Aaveガバナンスディスカッションは、ダウンストリームプロトコルがリキッドリステーキングトークンへのエクスポージャーを再評価している様子を反映している。このような規模のブリッジインシデントが発生すると、カウンターパーティは、基礎となる資産のインフラが自らのリスク基準を満たしているかどうかを評価しなければならない。これは、機関が複雑なカストディアレンジメント全体で重要なETHポジションを保有する際に提起される懸念と類似している。

rsETH保有者とカウンターパーティが次に問う質問

分類の論争には実務的な結果がある。インシデントが設定の失敗と判断された場合、責任は不十分なデフォルト設定に対してLayerZeroに、そしてそれらを上書きしなかったKelp DAOに部分的に降りかかる可能性がある。エクスプロイトと判断された場合、Kelp DAOはブリッジセキュリティ設計に対するより厳しい精査に直面する。

インフラ開発のための新たな資金調達を追求するプロジェクトを含む、クロスチェーン機能を構築するプロジェクトは、メッセージングレイヤー設定に関するより厳しい質問に直面するだろう。このインシデントは、DeFiセキュリティ基準におけるギャップを浮き彫りにしている:プロトコルがユーザー資金でライブになる前にデフォルトのブリッジ設定を上書きすることを義務付ける業界全体の要件は現在存在しない。

責任あるガバナンスと透明性に関心を持つプロトコルにとって、この論争はインシデント分類が単なる学術的なものではないことを強調している。それは、誰が支払い、誰が信頼を再構築し、そしてクロスチェーンインフラの展開方法における変更を決定する。