リスク伝導：誰がターゲットになったのか？

撰文：KarenZ，Foresight News

2026年3月22日、Resolvは深刻なセキュリティ事件に遭遇しました。攻撃者は漏洩した秘密鍵を使用して、Resolvのインフラに無許可でアクセスし、わずか2回の取引、20万ドルで8000万枚の無担保USRステーブルコインを鋳造しました。

攻撃者の退出戦略も同様にクリーンです。攻撃者はUSRを複数のDEXで分割し、USDCとUSDTに交換し、その後ETHに変換しました。最終的にウォレットには11,408枚のETHが蓄積され、約2400万ドルに相当します。

USRの価格は一時0.03ドルを下回りましたが、現在は0.3ドル近くに回復しており、ペッグはまだ回復していません。

これは2026年時点で最も代表的なDeFiセキュリティ事故の一つであり、複数のプロトコルに波及している。その中でも最大の論争となっているのは、MorphoとFluidにほかならない。

リスク伝播：誰が巻き込まれたのか？

USRは担保および取引ペアとして、複数のDeFiプロトコルに組み込まれている。USRの激しいデペッグが連鎖反応を引き起こした。

Morpho：オラクルとリスク管理の失敗

Morphoの公式は、最初に「プロトコル基盤のコントラクトに脆弱性はない」と述べた。しかし「脆弱性がない」と「問題がない」、「損失がない」は別の話だ。

Morphoの最新開示によると、預金が1万ドルを超える500の金庫のうち、約15の金庫が影響を受けた市場に大きなエクスポージャーを持っている。

裁定者がUSRのデペッグ後、ディスカウント価格で買い、その後それをプロトコルに担保として預け入れる一方、プロトコル内部のオラクルは依然として1ドル換算のままだ。裁定者はこの価格差を使って実際のUSDCを借り、金庫のステーブルコインの流動性を抜き取った。

なぜこうなったのか？オラクルの問題に加えて、損失を制御不能にしたのは、Morphoの「Public Allocator（パブリック・アロケーター）」という機能だ。

この機能の設計意図は良い。各貸借市場の利用率を監視し、ある市場の利回りが急騰したら、自動的に金庫からUSDCを調達して移し、キュレーターがより高い利回りを捉えられるようにする。通常の市場では、これは優雅な資本効率のためのツールだ。

しかし攻撃が起きた後、清算と裁定の影響でUSR市場の利用率は瞬時に爆発した。Gauntletなどの機関が、自動金庫で「高収益シグナル」を検知している。彼らは、それが「穴のある」市場だとは知らなかった。だから、次々と資金を注入し続けた。

Chaos Labsの創業者Omer Goldbergが、この荒唐無稽な劇のタイムラインを再現した。Gauntletは攻撃発生から20分で自動設定を開始し、約90分間継続した。別のキュレーターである9summitsは、攻撃後も最長10時間にわたって資金を供給し続け、人の目で発見されてから停止した。Gauntlet、re7、kpk、9summitsを含む複数のキュレーターが、事後にResolv市場へ自動的に資金を投入した。

オマー・ゴールドバーグの統計データによると、約620万ドルのUSDCが「退出流動性」として、USRの借り手に「注がれて」いる。そのうち96%（約600万ドル）の資金は、Gauntletが管理する金庫から出ている。

オマー・ゴールドバーグはまた、致命的な2点を指摘している。1つは、Morphoのこれらの市場がハードコードされたオラクルを使用しており、極端にデペッグした際に、資産がゼロになった、あるいは深刻に価値が目減りしたことをタイムリーに反映できないこと。もう1つは、リスク管理の不履行である。キュレーターやリスク管理担当者の役割は、本来ストレステストの下で人が判断することだが、今回の対応では鈍かった。

Fluid：最も深手を負い、最も大きな論争を呼んだ

影響を受けたすべてのプロトコルの中で、Fluidもまた今回の件の議論度が最も高いプロトコルの一つだ。

この点を理解するには、まずFluidというプロトコル自体の構造を理解する必要がある。

FluidはInstadappのチームが2024年にリリースした。Instadappは2018年からDeFiの「ミドルウェア」として運営していたが、その後、既存プロトコルの組み合わせだけでは革新の余地が限られていると気づき、自ら参入して構築した。借入と取引の流動性を徹底的に融合させるプロトコル、それがFluidである。

Fluidのコアとなる設計思想はこうだ。借入と取引の流動性をつなぎ、一つの資産で同時に複数のことを行えるようにする。その実現には、2つの革新的メカニズムがある。

• スマート担保（Smart Collateral）：預け入れた担保が、同時にAMM流動性プールのマーケットメイキング資金として使われる。返済を待ちながら、他者の取引のマッチングを手伝い、手数料を稼ぐ。

• スマート債務（Smart Debt）：借りた資金は遊休ではない。自動的にAMM流動性プールへ注入され、流動性として機能する。そこから得られる取引手数料が、借入金利を相殺し、極端なケースでは「マイナス金利の借入」さえ実現し得る。

この設計により、FluidはLTV（ローン・トゥ・バリュー）を95%まで引き上げ、清算ペナルティは0.1%にまで抑えた。通常の市場では利点だが、極端なデペッグの局面では許容誤差がほぼゼロとなる。担保価値のわずかな変動でも連鎖的な清算を引き起こし得るからだ。

では、Resolvの攻撃はどうやってFluidに波及したのか？

問題はFluidの貸借市場にあった。Fluidはこれまで、wstUSR（Wrapped Staked USR）を担保として受け入れていた。USRが下落すると、これらのポジションにおける担保価値が瞬時に蒸発する。

不良債権は必然の結末だ。以下のFluidの借入ページでは、担保としてwstUSR（Resolvのstaked USR版）を使用した複数の市場状態が表示されている。

オマー・ゴールドバーグの統計によると、Fluidの潜在的な不良債権はさらに1100万ドル以上に上る。

出典：オマー・ゴールドバーグ

これに対しFluidは、チームが短期ローンを確保しており、プロトコル内の現在100%の不良債権をカバーするとのことだ。この資金はCyber Fund（Fluidの投資家の一つ）のKonstantin Lomashuk、Jupiter共同創業者のmeow、そしてFluidのコアチームが共同で拠出している。加えて複数の投資家は、追加資金が必要なら財庫からFLUIDトークンを買い取る意向も示し、さらなる下支えを行うという。

Fluidの創業者Samyak Jainも公開の場で次のように表明している。「今後2〜4週間、重点的に2つのことを行います。Fluidの安全性を高めること、そして安全メカニズムを自動化すること。チームの反応を待たず、ロボットが30〜60秒で反応できるようにする。チームは30〜60分かかる可能性があります。Fluidは、最も複雑な安全インフラを構築し、市場状況に応じてプロトコルの特定部分が自動的に凍結状態へ入れるようにします。」

市場は本当に納得しているのか？DefiLlamaのデータによれば、FluidのTVLはUSR攻撃発生前の12.5億ドルから、現在の8.7億ドルへと落ち込んだ。1日で3.8億ドルのTVLが消失し、下落率は30%に達する。

価格の観点では、Morphoは24時間で3.64%下落した。一方、FLUIDは24時間の下落率が15%にまで達している。

他に影響を受けたプロトコルや関係者は？

RLP保有者：RLPはプロトコルの「保険プール」で、USR保有者を下支えする目的で設計されているが、その一方で収益はより高い。@yieldsandmoreの統計：事故前のRLPの総流通量は29,999,625枚で、約3,860万ドルに相当。一方で最大保有者はStream Financeである。これは2025年11月に、協力相手による資産持ち逃げで9,300万ドルの損失を出したプロトコルであり、Morpho上で約1,360万枚のRLPを保有している。純リスクエクスポージャーは約1,700万ドル。注目すべき点として、Stream Financeの公式Xアカウントは2025年11月以降、更新が一切ない。

レバレッジ収益戦略プロダクトyoUSD：同様にRLPを担保として使用し、RLPへのエクスポージャーは2.75%。943,248枚のRLPを保有している。

Inverse Finance：対応が速かった。公式発表によると、リスクワーキンググループはUSRが初めて攻撃された15分以内に、wstUSR-DOLAのFiRM市場を停止した。清算人が素早く追随し、最終的な不良債権はわずか34万ドルだった。

まとめ

視点を引いて見ると、Resolvの出来事はDeFi業界全体に、非常に鋭く、避けがたい問題を突きつけた。すなわち、プロトコルの安全面での下限は、もはやコード監査だけに依存して済む段階ではないということだ。

監査は事前、監視はリアルタイム。どちらも欠かせない。真の防御には、運用中にリアルタイムかつ継続的な監視を実装しなければならない。異常（準備資産との不一致、操作者の署名異常など）を検知したら、秒単位、あるいはミリ秒単位で「ハード・フォールト（硬い緊急停止）」を即発動して、リスクの拡散を遮断する必要がある。

外部ステーブルコインを担保として受け入れる貸借・デリバティブ・流動性プロトコルであれば、より明確に理解すべきだ。つまり、あなたは自分のスマートコントラクトを制御できても、依存しているそのステーブルコインの鋳造ロジック、鍵管理、そして運用上の安全性を、決して制御できないということ。こうした外生リスクは、DeFiの「レゴ式」な組み合わせアーキテクチャにおける、最も頑固で、最も根治が難しい構造的な弱点だ。

同時にDeFiが極限の効率を追求するのなら、より強いリスク分離と外部依存の防火壁も、並行して構築しなければならない。さもないと、「レゴの積み木」のような組み合わせが、次の秒にはドミノ倒しの起点になり得る。

安全は決しておまけではなく、DeFiが長期存続するための生死ラインだ。