Hedera、Bonzo Lendで905万ドル流出しTVLが約40%急減　一方でRWA担保の英初FX取引も成立

Hedera（HBAR）はこの1週間、明暗がはっきり分かれた。最大手のDeFiレンディング「Bonzo Lend」でオラクル悪用による不正借入が発生し、約905万ドルが流出。ネットワーク全体のTotal Value Locked（TVL）は1日で約40%減少した。その一方で、Lloyds Banking Group、Aberdeen Investments、Archaxは、実世界資産（RWA）のトークンを担保に用いた英国初の外国為替（FX）取引をHedera上で完了。HM Treasury（英財務省）支援の報告書にも掲載され、機関投資家領域での前進を印象づけた。 ■ポイント ・Bonzo Lendは7月11日に約905万ドルの損失。第三者オラクル「Supra」の検証不備を突かれ、SAUCE価格を不正に吊り上げて過大借入が行われた。 ・侵害から24時間でHederaのTVLは約40%低下。Bonzo単体のTVLは77%急減し、ネットワーク全体のTVLは約2,570万ドルまで縮小した。 ・HBARは事案後に0.067〜0.069ドル近辺へ下落。過去1年で約71%安、2021年9月の最高値0.5692ドルからは約88%下の水準にある。 ・数日後、Lloyds Banking Group、Aberdeen Investments、Archaxが、RWAトークンを担保にした英国初のFX取引をHederaで実施。HM Treasury支援の「Wholesale Digital Markets Champion」報告書に事例として掲載された。 ・企業主導のガバナンス組織「Hedera Council」は約31〜32社規模。Google、IBM、Boeing、FedEx、Deutsche Telekom、McLaren Racingなどが参加し、各社がバリデータノードを運用する。 ・Canary CapitalのHBAR現物ETF（ティッカー：HBR）は、設定来の累計流入が約9,300万ドル、純資産は約4,900万ドル。SECとCFTCが2026年3月にHBARを「デジタル商品」に分類したことが背景にある。 ■Bonzo Lendの不正流出：何が起きたのか ▽攻撃の流れ Bonzoの公式インシデント報告によると、攻撃は2026年7月11日00:51（UTC）ごろに開始。攻撃者は数ドル相当のSAUCE 250枚を預け入れたうえで、オンデマンド型オラクル契約に対し改ざんした価格更新を投入した。 問題の更新は、SAUCE価格を約10^12倍（12桁）押し上げる内容だったにもかかわらず、オラクル検証側が受理した。正規のオラクル委員会署名ではなく、署名がゼロ化されたデータを通してしまった点が核心とされる。 その8秒後、攻撃者は水増しされた担保価値を使い、USDC約660万枚とWrapped HBAR（WHBAR）約3,450万枚を借り入れ、合計で約905万ドル相当を流出させた。 同じ時間帯に別ウォレットが約100万ドル相当を借り入れたが、のちにホワイトハットとしてBonzoチームに名乗り出て返還を約束。異常借入の総額は約1,006万ドルに達した一方、Bonzoが公表する損失額905万ドルには、ホワイトハットが返還予定とした分は含まれていない。 セキュリティ研究者SpecterとPeckShieldは、盗難資金のうち500万ドル超がLayerZero経由でHederaからEthereumへブリッジされ、Wrapped BitcoinからETHへ交換された動きを追跡した。 Bonzo LendとBonzo Pointsは現在も停止中。復旧・補填を含む対応策を検討している。Bonzo Vaults、Bonzo Bridge、シングルサイドのステーキングは影響を受けず通常稼働を継続している。 Bonzoは、原因はSupraの第三者オラクル検証インフラの欠陥にあるとし、Bonzo自身のスマートコントラクトやHederaの基盤ネットワークの脆弱性ではないと説明した。この切り分けは重要で、Hederaの合意形成そのものの問題ではなく、DeFiプロトコルが採用する外部オラクルに起因するリスクとして位置づけられるためだ。Supraは問題を認め、影響を受けた検証コントラクトの修正を実施したとしている。 ▽金額以上の影響 今回の本質的な損失は、資金そのものより信認の毀損にある可能性がある。事案後24時間でTVLが約40%落ち込んだのは、利用者の資金引き揚げが一気に進んだことを示す。韓国のUpbit、Bithumb、CoinoneなどはHederaに関する投資家向け注意喚起を出した。 時期も重なる。今回の件は、同週に起きたSummer.fiの600万ドル規模の侵害、BonkDAOのガバナンス攻撃での2,000万ドル規模の被害と並び、1週間で損失総額が3,500万ドル超となった主要案件の一つ。CertiKの2026年上期レポートが指摘した「総損失額は減少傾向でも、セキュリティ環境は改善しておらず、いくつかの点では悪化している」という見立てとも整合する。 ■機関投資家側の材料：Lloyds、Aberdeen、Archax 悪用事案が報じられるさなか、Hederaでは別のニュースも進んだ。Lloyds Banking Group、Aberdeen Investments、デジタル資産プラットフォームのArchaxが、トークン化RWAを担保に用いた英国初のFX取引をHederaネットワーク上で完了した。 取引では、Aberdeen Investmentsのマネーマーケットファンドのトークン化持分に加え、英国債のトークン化資産が担保として用いられた。この取り組みは、HM Treasury支援の「Wholesale Digital Markets Champion」報告書で、金融機関によるブロックチェーンの実務利用例として取り上げられている。 DeFiでの侵害と、伝統金融の実証が同じ週に並んだ構図は、Hederaの現在地を象徴する。企業領域での信用を積み上げる一方、パーミッションレスなDeFi層では他チェーン同様に、第三者スマートコントラクトや外部オラクルのリスクが残る。 ■Hederaを動かす組織：Hedera Council ▽多くのチェーンと異なる企業型ガバナンス Hederaは、匿名バリデータや創業チーム中心で運営されるモデルとは異なる。運営はHedera Council（2025年5月に旧称「Hedera Governing Council」から改称）が担い、最大39のグローバル組織からなる輪番制の意思決定機関として設計されている。現在のメンバーはおよそ31〜32社。 各メンバーは企業規模にかかわらず1票を持ち、任期は3年で連続2期まで。さらに、各社はネットワーク上でトランザクションを検証するコンセンサスノード（バリデータ）を運用することが求められる。枠組みは、単一機関が支配しない共同ネットワークとしてのVisa（1968年当時）のガバナンスを参照しているとされる。 ▽参加企業 Councilにはテクノロジー、金融、通信、エネルギー、学術機関が幅広く参加。Google、IBM、Boeing、FedEx、Dell、Deutsche Telekom、LG Electronics、Standard Bank、Chainlink Labs、野村ホールディングス、Ubisoft、McLaren Racing、Accenture（2026年4月参加。ネットワーク上のエンタープライズAIガバナンス基盤の構築を担う）に加え、London School of Economics、University College Londonなども名を連ねる。 HBARの総供給量は上限500億枚で、供給量の変更には全メンバー一致の同意が必要となる。これはガバナンス上、最も高いハードルに位置づけられている。 ■HBARの規制・商品化を巡る環境 HBARは2026年3月17日、SECとCFTCが公表した「デジタル商品」分類リストに16銘柄の一つとして含まれた。Bitcoin、Ethereum、Solana、XRPなどと並んで明示されたことで、規制下の機関投資家によるアクセス拡大を後押ししたとみられる。 この分類を追い風に、Canary CapitalのHBAR現物ETF（HBR）は設定来の累計流入が約9,300万ドル、純資産は約4,900万ドルに達した。HBARを組み入れるHashdexのインデックス商品も存在する。 （参考）暗号資産の市場データやトークン化資産のトラッキングについては、Coinglass（デリバティブ市場）やRWA.xyz（トークン化資産）の指標解説も参照されたい。