DeFiの「神の鍵」：Driftが2億8500万ドル盗難された事件から見る、分散型金融（DeFi）最大の脆弱性
TechFlow厳選深潮セレクト
DeFiの「神の鍵」：Driftが2億8500万ドル盗難された事件から見る、分散型金融（DeFi）最大の脆弱性
Drift という一撃は、業界が最も直視したくない傷口に precisely 飛び込んだ。
Web3業界の深掘り報道に専念し潮流を洞察著者：TechFlow
4月1日はエイプリルフール（嘘の日）だ。
Solanaチェーン上最大のパーペチュアル・コントラクト取引所であるDrift Protocolが、今まさに空にされようとしている。コミュニティの第一反応は「なかなか面白いエイプリルフールのジョークだな」だった。
しかし、これはジョークではない。午後1時30分頃、チェーン上監視アカウントのLookonchainとPeckShieldがほぼ同時に戦闘警報を発した：「HkGz4K」で始まる見知らぬウォレットが、驚異的な速度でDriftの金庫から資産を引き出していた。最初の引き出しは、JLPトークン4,100万枚（価値1億5,500万ドル）。続いて、USDC 5,160万ドル、WSOL 12.5万枚、cbBTC 16.4万枚……十数種類の資産が、栓を抜かれた浴槽の水のように、どっと外へ流れ出た。
わずか1時間の間に、金庫資産は3億90万ドルから4,100万ドルへと急落。総鎖定価値（TVL）の半分以上が蒸発したのだ。
DriftチームはX（旧Twitter）で、異例の緊迫したトーンで投稿した。「Drift Protocolは現在、積極的な攻撃を受けています。預金および出金は一時停止されています。事態の制御に向けて、複数のセキュリティ企業、クロスチェーンブリッジ、および取引所と連携中です。」
そして、暗号資産史に必ずや刻まれるであろう補足の一文が続く。「This is not an April Fools joke.」
一本の鍵が、すべてのドアを開けた
Driftから盗まれた金額については、各情報源で若干の差異がある。PeckShieldの推定は約2億8,500万ドル、Arkhamは2億5,000万ドル超、CertiKの初期評価は約1億3,600万ドルとなっている。いずれの数字が正確であれ、これは2026年に入ってから現時点で最も大規模なDeFiセキュリティ事件である。
金額以上に注目すべきは、その攻撃手法だ。
PeckShieldの創業者である蒋旭憲氏はDecryptに対し、率直にこう語った。「Driftの背後にある管理者キーは、明確に漏洩またはハッキングされた。」チェーン上研究者たちが再構築した攻撃シナリオによると、ハッカーはDriftプロトコルへの特権的アクセス権を取得し、結果として金庫の資金フローを完全に掌握したという。
言い換えれば、巧妙なスマートコントラクトの脆弱性の悪用もなければ、フラッシュローン攻撃もなく、オラクル操作もない。ただ単に、最も原始的で古くさいセキュリティ失敗——誰かが秘密鍵を紛失した——だけなのだ。
さらに不安を煽る詳細もある。攻撃者は突発的に行動したわけではない。チェーン上データによると、このウォレットは攻撃の8日前にNear Intents経由で初期資金を調達し、その後しばらく沈黙していた。攻撃の1週間前には、Drift金庫からわずか2.52ドルの微小な送金を受け取っている。これは試しの行為であり、「ドアをノックする」行為だったのだ。
1週間後、ドアは蹴破られた。
暗号資産版ロビンフッドの墜落
Drift共同創設者のシンディ・リウにとって、4月1日の悪夢には、特に残酷な陰影が重なっていた。
このマレーシア系華人の起業家が紡いだ物語は、かつてSolana DeFi界で最も輝かしい成功譚の一つだった。2016年に中国・韓国間のビットコインアービトラージから事業をスタートさせ、自家運用ファンドを運営し、イーサリアム上でデリバティブプロジェクトにも貢献。2021年にはデイビッド・ルーとともにDriftを創立し、Solanaの高速処理性能を活かしたチェーン上パーペチュアル・コントラクトに賭けた。
タイムラインを見れば、Driftはまさにすべての波に乗っていた。2024年にはPolychainおよびMulticoinが主導する2回の資金調達を実施し、合計5,250万ドルを調達。予測市場サービスをPolymarketに対抗して展開し、50倍レバレッジを導入、TVLは5億5,000万ドルを突破、累計取引高は500億ドルを超えた。リウ氏は『Fortune』誌のインタビューで、自らの野望をこう表現した。「暗号資産版ロビンフッドになる」
この比喩は今読むと、五味交じりの感覚を呼び起こす。ロビンフッドの核となる約束は、「一般人がウォールストリートの金融商品にアクセスできるようにする」ことだ。一方、Driftの核となる約束は、「非カストディアル（非託管）」の取引体験をチェーン上で提供すること——つまり、あなたのお金は誰の手にも渡らず、ただコードとやり取りするだけ——であった。
だがそのコードの裏側には、一本の管理者鍵がある。そしてその鍵の安全性は、最終的には暗号学ではなく、人間に依存しているのだ。
さらに神経を逆なでする歴史的偶然もある。2022年、Drift v1時代にはすでに金庫が空にされる事故を経験している。チームはその後、極めて詳細な技術報告書を公表し、攻撃者が1回のトランザクションで金庫を丸ごと空にする方法を示す概念実証コードまで公開した。当時の損失額は1,450万ドルで、チームはユーザー全員に対して自己負担で全額補償した。
それから4年後、同じ悪夢が20倍の規模で再び訪れたのだ。
分散化への信仰、集中化された致命的弱点
視野をDriftから少し広げると、不快なパターンが浮かび上がってくる。
2025年初頭、Resolv LabsのAWSキーマネジメントサービスが攻撃を受け、攻撃者は特権キーを用いて大規模なUSRステーブルコイン発行操作を承認し、跨プラットフォームの連鎖的損失を引き起こした。同年、2025年の暗号資産窃盗総額は34億ドルという過去最高を記録。Chainalysisの報告書は特に、あるトレンドの転換点を指摘している：最も破壊的な事象は、インフラストラクチャ層で発生している。攻撃された開発者用マシン、クラウド上に保管された単一の発行キー、ソーシャルエンジニアリングによる署名プロセスの乗っ取り——これらこそが、真に資金を飲み込むブラックホールである。
そこに今度はDriftが加わった。
これらの事例を並べてみると、ほとんど避けられない結論が導き出される：秘密鍵のセキュリティが、スマートコントラクトの脆弱性を凌駕し、DeFiにおける最大のシステミック・リスクへと変貌しつつある。
ここには、数十億ドルを飲み込むほどの大きさの認識ギャップが存在する。
DeFiプロトコルが外部に語る物語は、「分散化」「非カストディアル」「信頼不要」である。あなたの資産はコードによって守られ、どんな仲介者もあなたのお金を触ることはできない。ユーザーはこの物語を信じ込み、自分のお金をこうしたプロトコルに預け、「私は数学とやり取りしている」と思っているのだ。
しかし現実は、稼働中のほぼすべてのDeFiプロトコルが、一本あるいは数本の「神の鍵」——admin key（管理者キー）、アップグレード権限、金庫管理権、緊急停止スイッチ——を保有している。こうした鍵の存在理由は、時にセキュリティ（問題発生時に緊急ブレーキをかけるため）、時に柔軟性（コントラクトロジックをアップグレードするため）であるが、その本質はいずれも同じだ：分散化された物語に包まれた、中心化された信頼ポイントである。
ユーザーは自分自身がコードとやり取りしていると思い込んでいる。実際には、一人あるいは少数の人物を信頼しており、彼らがミスを犯さず、フィッシングに遭わず、脅迫されず、深夜にノートパソコンをカフェに置き忘れないことを前提にしているのだ。
これはDriftだけの問題ではない。これは、DeFi業界全体の構造的矛盾なのである。
2億8,500万ドルはどこへ行ったのか
攻撃者のチェーン上での動きは、職業的な冷静さを伴ってきびきびと行われた。
Drift金庫から資産を引き出した後、彼は大部分のトークンを迅速にステーブルコインに両替し、Wormholeクロスチェーンブリッジを経由して資金をイーサリアムネットワークへと移転した。イーサリアム上では、一部のステーブルコインで約19,913ETH（約4,260万ドル相当）を購入し、残りの資金は複数のウォレットアドレスへと分散された。
奇妙な細部もある。攻撃者のウォレットには大量のFartcoin（放屁を題材にしたメメコイン）が保持されており、同コインの総供給量の約2.5％を占めている。まさに今年最大規模のDeFi窃盗事件を成し遂げたばかりのハッカーが、名前の通り「おなら」をテーマにしたメメコインを大量に抱えているのだ。
本稿執筆時点において、Driftの入出金は依然として停止中であり、DRIFTトークンは攻撃前の約0.072ドルから0.05ドル前後にまで下落し、下落率は28％を超えた。過去最高値の2.60ドルから計算すると、累計下落率は98％を超えている。Phantomウォレットは、Driftへのアクセスを試みるユーザーに対し、警告ポップアップを表示している。
Driftチームは、セキュリティ企業、クロスチェーンブリッジ事業者、および中央集権型取引所と連携し、盗難資金の凍結および追跡を試みていると表明している。しかし、過去の事例が何かを示唆するならば、クロスチェーンブリッジを経由して複数のウォレットへと分散された資金の回収確率は、決して楽観視できない。
業界が正直に向き合わねばならない問い
Driftに対するこの一撃は、業界が最も直視したくない傷口を深く切りつけた。
Chainalysisは2025年末の報告書で、DeFiセキュリティは「実質的な進歩」を遂げたと楽観的に述べていた。TVLが1,190億ドルまで倍増したにもかかわらず、DeFiハッキングによる損失は減少傾向にあるという。Venus Protocolの事例は、その好例として挙げられた：セキュリティ監視システムが攻撃発生の18時間前に異常を検知し、プロトコルは即座に運用を停止、ガバナンスメカニズムにより攻撃者の資金を凍結、結果として攻撃者は赤字にさえ陥った。
しかしDriftは、こうした「進歩の物語」に疑問符を投げかけた。あなたはスマートコントラクトの監査を究極まで行うこともできるし、最先端のチェーン上監視を導入することもできる。しかし、たった一本の管理者キーがソーシャルエンジニアリングやフィッシング、あるいはブルートフォース攻撃によって奪われてしまえば、あらゆるセキュリティ基盤は砂の上に築かれた城と同じである。
DeFi業界は一度立ち止まり、正直に次の問いに答える必要がある：あなたがユーザーに「非カストディアル」と言うとき、その真意は一体何なのか？
もしプロトコルのadmin key（管理者キー）が、いつでも金庫内の全資産を移転可能であるなら、それは、あなたが知らない誰かの銀行口座にお金を預けることと、どこが違うのか？少なくとも銀行には保険があり、規制があり、法的救済手段がある。
答えが管理者権限の廃止であるとは限らない。多くの場合、そうした権限の存在は不可欠である。しかし少なくとも、業界はそれらが存在しないかのように振る舞うのをやめるべきだ。マルチシグガバナンス、タイムロック、ハードウェア・セキュリティ・モジュール（HSM）、鍵のローテーション……こうした技術的解決策は長年にわたり存在しているが、あまりにも多くのプロトコルが、数億ドルもの資産のセキュリティを、たった一人あるいは少数の人類オペレーターの注意力に委ねているのだ。
「暗号資産版ロビンフッド」という夢は美しく輝いている。だがそれを実現する前に、もっと基本的な問いにまず答えるべきだろう：その鍵を、いったい誰が管理しているのか？
TechFlow公式コミュニティへようこそ
Telegram購読グループ：https://t.me/TechFlowDaily
Twitter公式アカウント：https://x.com/TechFlowPost
Twitter英語アカウント：https://x.com/BlockFlow_News
深潮TechFlow
