DeFi のセキュリティ失敗は、盗まれた資金以上のコストをもたらす

DeFi ハックは長期的な流動性損失を残すことが、研究で明らかに

暗号通貨プロトコルは、信頼を取り戻すよりもコードの修正を速く行える。侵害が起きた直後の疑問は、どれだけの資金が消失したかということだ。より重要な疑問は、どれだけの資本が依然として残留したいと考えているかである。

Finance Research Letters に掲載された新しい研究『コードが失敗したとき：運用信頼ショックと分散型金融における流動性の損傷』は、第二の問題を検証しています。¹ Michael Zouari、Ilan Alon、Zeev Shtudiner の研究者らは、攻撃を受けたプロトコルが同等のプロトコルと比較して大幅な流動性低下を経験し、被害が数か月にわたり続くことが多いと指摘しています。

この結果は、分散型金融（DeFi）に実務的な教訓を提供する。セキュリティは金融商品の経済的基盤の一部である。信頼できるコードは資本を呼び込み続けるが、継続的な参加はガバナンスへの信頼、運用管理、そして何かが失敗した際に対応できる能力にも依存する。

DeFi 侵害研究が測定したもの

DeFi はブロックチェーンアプリケーションを利用して、貸付や取引といったサービスを提供する。従来の仲介者に完全に依存するのではなく、ユーザーはスマートコントラクト、すなわち事前に定義されたルールに従って取引を実行するプログラムと直接やり取りする。

研究者は、2020年11月から2026年5月までの期間に、51 のチェーンにわたる 197 件の侵害およびブリッジ攻撃事例を集めた。これらにはコードの脆弱性、管理者キーの漏洩といった運用上のセキュリティ失敗、そして異なるブロックチェーンを接続するインフラへの攻撃が含まれる。

これらの事例のうち、133 件がマッチング分析の対象となった。影響を受けたプロトコルは、事業カテゴリや事前規模などの類似点で選定された未侵害プロトコルと比較された。同期間で比較することで、暗号通貨市場全体の動向を考慮できた。

本研究の最も有用な点は、総ロック価値（TVL）の取り扱いである。この指標はプロトコル内に保有される資産のドル価値を測るが、暗号通貨価格の上下により変動するだけの場合もある。

研究者は代わりに、当時の価格で評価したトークン数量の変化を測定した。これにより、残高が変わらない場合の純粋な価格変動は除外される。しかし、得られた流動性指標には、盗難資産だけでなく引き出しやその他の残高変動も含まれる。これは、ユーザーが離脱した数を直接示すものとして解釈すべきではない。

侵害後にどれだけの流動性損失が生じたか

拡張されたマッチングサンプルでは、影響を受けたプロトコルは、事前 TVL の 27.6 ポイントに相当する価格中立的な異常流動性損失を 7 日目に経験した。その差は 30 日目で 33.6 ポイント、90 日目で 42.7 ポイントに拡大した。

これらの数値は、マッチングされた対照群との相対的な差異を示しており、侵害されたプロトコル全体の平均損失ではない。未侵害プロトコルも同期間に流動性が増減する可能性があるため、この区別は重要である。

180 日間の割合は、研究のフローカバレッジ要件を満たした 136 件の影響事例から算出された。残りの 41.2% は回復閾値と深刻障害閾値の間に位置した。これらの分類は流動性の結果を測るものであり、プロトコルが技術的に稼働し続けているかどうかを示すものではない。

確立されたプロトコルでも損失は見られたが、マッチングされた損失は小さかった。事前 TVL の最低基準を 1 億ドルに引き上げても、7 日目の異常損失は 14.6 ポイントであり、規模の拡大だけでは侵害後の損害から完全に逃れることはできなかった。

なぜセキュリティは経済的資産として機能するのか

より深い意味合いとして、セキュリティは現在契約内にある資産だけでなく、将来の預入れを呼び込む能力、実用的な市場の維持、継続的な金融活動の支援も保護する。

たとえば、資産の一部を失った仮想的な貸付プロトコルを考えてみよう。脆弱性が修正された後でも、貸し手は他に未解決の弱点が残っているのではないかと疑問を抱く可能性がある。もし資金を引き上げれば、プロトコルは元の盗難以外の第二の経済的問題に直面することになる。

この研究はこのメカニズムと一致する証拠を提供しています。最も低い深刻度の四分位では、7日間の中央値純流出は事前イベントのTVLの3.1%で、報告された盗難の中央値0.6%と比較されます。次の四分位では、数値はそれぞれ9.5%と7.8%でした。

これらの比較は、機械的な損失を超えた再評価を示唆しています。個々の動機を証明するものではなく、著者らは行動要素を特定するためには取引レベルの追跡が必要だと述べています。エクスプロイトの深刻度が高まると、盗難自体をその後の流動性低下から切り離すことがますます困難になります。

それでも、ビジネス上の示唆は明確です。セキュリティ支出を単に潜在的な盗難と比較して評価すると、その価値が過小評価されます。インシデントを防止することは、金融ネットワークを有用にする将来の参加者を維持することにもつながります。

ブロックチェーンは安全でありながら、アプリケーションが失敗する理由

投資家はブロックチェーン自体のセキュリティと、その上で動作するアプリケーションのセキュリティを区別すべきです。ネットワークは正しく取引を検証し続けられる一方で、アプリケーションは欠陥のあるコードが許可した取引を処理することがあります。

同様の区別は管理者資格情報、外部価格フィード、インターフェース、ブリッジにも当てはまります。あるコンポーネントの失敗が、基盤となるブロックチェーンが機能停止したことを必ずしも意味するわけではありません。

Securities.io の議論 トークン化資産の相互運用性 が説明するように、システム間で資産を移動することは、標準や運用ガバナンス、転送される資産の意味も伴います。接続性だけではこれらの責任は解決しません。

同様に、トークン化ライフサイクル はトークンの作成を超えて続きます。金融インフラは資産のライフタイム全体にわたって信頼できる記録とプロセスを維持しなければなりません。DeFi の回復課題は、技術革新と同様に運用能力に注目すべき理由を示しています。

実質的な DeFi 回復の姿とは何か

TVL が上昇するチャートは、増加が主にトークン価格の上昇による場合、回復の錯覚を与えることがあります。逆に、価格下落は戻ってくる預金を隠すことがあります。本研究は、評価効果と残高変動を分離することでインシデント後の分析が向上する理由を示しています。

回復には、補償と新たな信頼の区別も必要です。救済資金は残高を回復させても、一般ユーザーが再び利用する意思があることを示すわけではありません。プロモーションインセンティブは一時的に預金を呼び込んでも、持続的な参加を示すものではありません。

したがって、実務的な評価では以下のような複数の個別質問を検討すべきです：

• 障害の原因が説明され、独立してレビューされましたか？
• トークン残高は価格変動や救済資金を超えて回復していますか？
• ユーザーは引き出し条件や補償の取り決めを理解できますか？
• 必要に応じてガバナンスや運用コントロールは変更されましたか？

このフレームワークは研究結果から導かれる分析的示唆であり、研究者が検証した回復の公式ではありません。長期的な結果には、返金、移行、ガバナンス決定、その他の対応も含まれます。

Coinbase が一般投資家と DeFi インフラをつなぐ

DeFi が身近な金融アプリケーションを通じてユーザーに届くにつれ、これらの課題の商業的重要性は拡大します。Coinbase は取引、カストディ、開発者向け事業を通じて、この統合への公開市場でのエクスポージャーを提供し、顧客をオンチェーンサービスに結びつける製品も提供しています。

2026年9月、Coinbase はブラジルとカナダにおける Morpho 搭載 USDC 貸付の拡大を発表しました。顧客資金は自己管理ウォレットから Base 上の Morpho 貸付金庫へ移動し、金庫のキュレーションは Steakhouse Financial が提供します。

この統合は、馴染みのあるインターフェースが DeFi へのアクセスを容易にしつつ、ユーザーを基盤プロトコルのリスクにさらす様子を示しています。Coinbase のUSDC 貸付リスク開示では、スマートコントラクトの失敗、不良債務、引き出し制限などのリスクが説明されています。

株主にとっての機会は、デジタル金融活動を支えるインフラの採用が拡大することです。対応する課題は、製品拡大が効果的なリスクコミュニケーションと信頼できる運用と共に行われるかどうかです。シンプルなインターフェースは摩擦を減らすことができますが、侵害されたプロトコルの経済的影響を除去することはできません。

Coinbase のインフラ拡大には、最近報告されたCiti との法定通貨およびステーブルコイン決済に関する協業も含まれます。これらの展開は同社の事業方向性に関する文脈を提供します。本研究自体は Coinbase を評価せず、競合他社のセキュリティ失敗から同社が利益を得ていることを示すものでもありません。

最新の Coinbase (COIN) ニュースと動向

DeFi 成長のためのより耐久性のある基盤

研究結果は、被害が主に影響を受けたプロトコルに集中しているため、慎重な楽観主義を支持しています。研究者が指定したテスト範囲内では、同等のピアへの短期的な波及効果は経済的に小さいことが示されました。この発見は、特定の共有依存関係を通じた感染を排除するものではありませんが、すべてのエクスプロイトがセクター全体を同等に損なうという前提に疑問を投げかけます。

したがって、DeFi の次の開発段階は、セキュリティ、透明な測定、信頼できる是正措置を製品品質の中心に据えることに注力できます。より良いコードが重要です。また、初期の熱狂が薄れた後でも、資本が生産的でアクセス可能であり、ユーザーの継続的な信頼に値することを示すことも重要です。

参考文献：

¹ Zouari, M., Alon, I., & Shtudiner, Z. (2026). コードが失敗したとき：分散型金融における運用信頼ショックと流動性傷痕。 Finance Research Letters, 113, 110877. https://doi.org/10.1016/j.frl.2026.110877