北朝鮮テロ被害者がAave資産7100万ドルを狙う裁判の全容と争点

本記事は2026年5月6日時点の情報をもとに執筆しています。

北朝鮮のハッカー集団がDeFi（分散型金融）プロトコルを悪用してETHを盗み出した事件が、思わぬ方向に発展しています。北朝鮮によるテロ行為の被害者遺族が、凍結された約7100万ドル相当のイーサリアムを「北朝鮮の財産」として差し押さえようとしているのです。

対するのはDeFiレンディング最大手のAaveです。「その資産は無関係のユーザーのものだ」と主張し、米連邦裁判所に緊急動議を提出しました。Aaveハッキングの時系列を追いながら、この法廷闘争の争点と背景をひとつずつ解きほぐしていきます。

この事件の全体像とは？

この事件は、単純なハッキング被害の話ではありません。被害者・加害者・第三者という3つの立場が複雑に絡み合った構図になっています。

Kelp DAOハッキングとは何か

Kelp DAOは、イーサリアム（ETH）のリキッド・リステーキングプロトコルです。ユーザーがETHを預けると「rsETH」というトークンが発行され、そのrsETHをDeFi上で運用できる仕組みになっています。

2026年4月18日、このKelp DAOのクロスチェーンブリッジが攻撃を受けました。攻撃者は116,500 rsETH（約2億9300万ドル）を不正発行し、DeFi市場から大量のETHを引き出すことに成功しています。

Aaveがどのように被害を受けたのか

攻撃者は不正に生成したrsETHを、DeFiレンディングプロトコルのAaveに「担保」として預け入れました。rsETHは本来ETHと同等の価値を持つトークンなので、Aaveはその担保を信用してETHを貸し出してしまいます。

攻撃者が借り出した実ETHは約1億9000万ドル相当。担保はほぼ無価値な偽造トークンだったため、Aaveには最大2億3000万ドルの不良債権が発生しました。

なぜ「北朝鮮テロ被害者」が登場するのか

この攻撃は、北朝鮮のハッカー集団「Lazarus Group（ラザルスグループ）」が実行した可能性が高いと、セキュリティ企業のChainalysisやTRM Labsが指摘しています。

その情報をもとに動いたのが、北朝鮮によるテロ行為で家族を失った遺族たちです。彼らはすでに米国裁判所から北朝鮮に対する未払い判決（総額約8億7700万ドル）を持っており、その回収手段として今回の凍結資産に目をつけました。

攻撃手法の仕組みとは？｜クロスチェーンブリッジとrsETHの脆弱性

技術的な背景を理解すると、なぜこれほどの被害が起きたのかがわかります。攻撃者が突いたのは、ブロックチェーン間をつなぐ「橋」の構造的な弱点でした。

クロスチェーンブリッジとは何か

異なるブロックチェーン間で仮想通貨を移動させる仕組みが「クロスチェーンブリッジ」です。Kelp DAOはLayerZeroというプロトコルを使って、rsETHをArbitrumやBaseなど複数のブロックチェーンに展開していました。

ブリッジの仕組みはシンプルです。送信元チェーンにトークンをロックし、その証明書を受け取った別のチェーンで同量のトークンを発行します。この「証明書の検証」を担うのが分散型検証ネットワーク（DVN）です。

攻撃者が偽のrsETHを生成した手口

LayerZeroはDVNを複数台で運用することを推奨していました。しかし、Kelp DAOはLayerZeroが運用する1台のみで検証を行う設定にしていました。

攻撃者はこの1台のDVNに侵入し、「偽の資産預かり通知」を正当なものとして承認させることに成功します。その結果、実際には送信されていないrsETHが別のチェーンで新規発行されてしまいました。トークンの裏付けがないまま、116,500 rsETHが空中から生み出されたわけです。

Aaveを担保として悪用した借入の流れ

不正発行したrsETHを持った攻撃者は、次にそれをAaveに持ち込みます。rsETHはETHと1対1に近い価値を持つとされていたため、Aaveの担保システムはその価値を信用しました。

攻撃者は89,567 rsETHをAaveに預け、EthereumとArbitrum上で約1億9000万ドル相当のETHを借り出しています。Aave側のシステム自体には不具合はなく、担保の価値判定という「前提条件」を崩されたことが被害の根本原因です。

時系列まとめ｜2026年4月18日から5月6日まで何があったか

事件は約3週間の間に次々と局面が変わりました。日付を追って整理します。

日付	出来事
2026年4月18日	Kelp DAOへの攻撃発生。116,500 rsETH不正発行・約2億9300万ドル流出
2026年4月19日	AaveがrsETH関連市場を凍結。LayerZeroがLazarus Group関与を示唆
2026年4月20日	Arbitrum Security Councilが攻撃者のウォレットから30,766 ETHを凍結
2026年4月下旬	Aave・Consensys・Lidoなどが復興ファンド「DeFi United」を設立
2026年5月1日	ニューヨーク南部地区連邦裁判所が差し押さえ命令を発令
2026年5月4日	Aaveが緊急動議を提出。差し押さえ解除または3億ドルの保証金を要求
2026年5月5日	テロ被害者側が「詐欺論」に切り替えた新たな法的申請を提出
2026年5月6日	マンハッタン連邦裁判所（Judge Margaret M. Garnett）で公聴会

2026年4月18日：Kelp DAOへの攻撃発生

LayerZeroのDVNへの侵害とDDoS攻撃が同時に仕掛けられ、偽のクロスチェーン送信指示が承認されました。攻撃発生から46分後、Kelp DAOはrsETHコントラクトを緊急停止し、追加被害を防いでいます。

ただし、この46分の間にrsETHをAaveに預けて実ETHを借り出す一連の操作はすでに完了していました。停止が間に合ったのは流出の拡大を防ぐ段階のみです。

2026年4月20日：Arbitrumによる30,766 ETH凍結

Arbitrum Security Councilは、攻撃者のウォレットに残っていた30,766 ETH（約7100万ドル）を迅速に凍結しました。この資金は被害を受けたAaveユーザーへの返還を目的として、安全なアドレスに移管される予定でした。

その後、Aave・Kelp DAO・Consensys・Lido・Compound・Avalanche Foundationなどが連合して「DeFi United」という復興ファンドを立ち上げます。2026年5月6日時点で、このファンドはすでに3億2700万ドル超を調達しています。

2026年5月1日：連邦裁判所が差し押さえ命令を下す

問題はここから始まりました。北朝鮮に対する未払いテロ判決を持つ原告側弁護士が、ニューヨーク南部地区連邦裁判所に申請。裁判所はArbitrum DAOに対して差し押さえ命令（拘束通知）を発令しました。

この命令により、被害ユーザーへの返還を目的として凍結されていた30,766 ETHは、別の目的で使用できない状態に置かれることになります。

2026年5月5日：AaveとAaveの反論、そして「詐欺論」への転換

Aaveは5月4日に緊急動議を提出しましたが、原告側も翌5日に法的戦略を転換する新たな申請を行っています。「窃盗」ではなく「詐欺」という法的構成に切り替えた申請で、その意図については後の章で詳しく説明します。

2026年5月6日：マンハッタン連邦裁判所で公聴会

ガーネット判事の法廷で午前11時（現地時間）に両者の審理が行われました。本記事執筆時点では判断結果が出ていないため、続報を待って追記する予定です。

北朝鮮テロ被害者の主張とは？｜TRIA法とは何か

「なぜDeFiのハッキング資産を、北朝鮮テロの被害者が請求できるのか」という疑問は当然です。その法的根拠を整理します。

テロリスト危険保険法（TRIA）の概要

TRIA（Terrorism Risk Insurance Act）は、テロ行為の被害者を保護するための米国連邦法です。この法律に基づくと、テロ行為の加害国（ここでは北朝鮮）の財産を差し押さえて判決債権の回収に充てることができます。

原告は過去の北朝鮮によるテロ行為（外交官殺害など）で家族を失った遺族です。米国裁判所から北朝鮮への損害賠償判決を得ているものの、北朝鮮が支払いに応じないため、今回の凍結資産を「北朝鮮の財産」として差し押さえようとしています。

「北朝鮮の財産」と主張できる法的根拠

原告側の理屈はこうです。Lazarus Groupが実行した攻撃は北朝鮮国家の指示に基づくものであり、盗まれたETHは一時的に北朝鮮の支配下に置かれた。したがってその資産は「北朝鮮の財産」であり、TRIA法に基づいて差し押さえられる、というものです。

この論理が成立するには「誰が攻撃を行ったか」という帰属の証明が前提になります。Lazarus Groupの関与はChainalysisやTRM Labsによるオンチェーン分析で示唆されていますが、法的に確定した事実ではありません。

未払い判決8億7700万ドルとは何か

原告が保有する北朝鮮への未払い判決の総額は約8億7700万ドルに上ります。北朝鮮が自発的に支払いに応じることは期待できないため、原告はこれまでも北朝鮮に帰属する資産を探し続けています。

今回の7100万ドルはその一部に過ぎませんが、凍結資産を確保できれば他の差し押さえ事例にも影響を与えます。DeFiが北朝鮮資産回収の対象になるという前例を作ること自体に大きな意義があるわけです。

「詐欺か窃盗か」という新たな法律論の争点とは？

5月5日、原告側は法的戦略を大きく転換しました。「窃盗」ではなく「詐欺」として事件を捉え直すという申請です。この区別が、なぜ重要なのかを解説します。

窃盗論の主張と限界

これまで原告側は「北朝鮮がETHを盗んだ（窃盗）」という構成で主張を進めていました。しかし「窃盗された財産は、盗んだ者の所有物にはならない」というのが基本的な財産法の原則です。

ニューヨーク州の財産法に基づくと、盗品の所有権は被害者に帰属し続けます。Aaveが「その資産はユーザーのものだ」と主張する根拠もここにあります。窃盗論のままでは、差し押さえの対象となる「北朝鮮の財産」という要件を満たせない可能性があります。

詐欺論への転換とその意味

新たな申請で原告側は「北朝鮮はAaveのユーザーから資産を借り入れ、返済しなかった」という詐欺の構成を主張しました。Kelp DAOのハッキングで生成した偽のrsETHを担保として提供し、実ETHを借り出して持ち逃げした行為を「詐欺」と定義します。

詐欺の場合、「詐欺師は被害者から財産の所有権（defeasible title）を取得する」という法理が適用できる可能性があります。所有権を一時的に得たとみなされれば、それは「北朝鮮の財産」と認定でき、TRIAによる差し押さえが可能になります。

チャールズ・ポンジ判例が引用されたのはなぜか

原告側の申請にはポンジ・スキームで有名なチャールズ・ポンジの判例が引用されています。「ポンジは被害者の現金について、単なる占有ではなく権利（defeasible title）を取得した」という過去の判決を根拠に、同様の論理が今回にも適用できると主張しています。

「詐欺論」に切り替えることで、ニューヨーク州の財産法が争点になりにくくなるという計算があります。Aaveが主張していた財産法上の反論を迂回しようとする法的戦略の転換です。

Aaveの反論とは？｜「盗んだ者が所有者にはなれない」という主張

Aaveは5月4日に29ページにわたる緊急動議を提出しました。その主張は3つの軸で構成されています。

Aaveが主張するユーザー資産論

Aaveの主張の核心はシンプルです。「凍結されているETHは、Aaveプロトコルを利用している無関係のユーザーのものだ」という点です。

攻撃者がrsETHを担保にETHを借り出した結果、Aaveには不良債権が残りました。凍結資産はその不良債権の補填に使われるべきものです。創業者のStani Kulechov氏は「泥棒は盗んだものの所有者にはなれない。この資金は被害者のものだ」と声明を出しています。

AaveのTOSにある「資産管理権限なし」の条項が争点になる理由

Aaveの利用規約（Terms of Service）には「Aaveはユーザー資産の占有・保管・管理を行わない」という記載があります。原告側はArbitrum DAOに差し押さえ命令を送達しましたが、Aaveはこの条項を引用して「Aaveには差し押さえに異議を唱える法的立場がそもそも存在するのか」という問題提起も行っています。

この条項はDeFiの非中央集権性を象徴するものですが、同時に訴訟の当事者適格を複雑にする要素でもあります。

Lazarus Groupの関与は「推測」に過ぎないというAaveの立場

Aaveは動議の中で、北朝鮮のLazarus Groupが今回の攻撃を行ったという主張について「インターネット上の推測に基づいた憶測に過ぎない」と反論しています。

Chainalysisなどのオンチェーン分析は法的な証拠として確定されたものではありません。帰属の証明なしに「北朝鮮の財産」とみなすことはできない、というのがAaveの立場です。

Arbitrum DAOはなぜ巻き込まれたのか

差し押さえ命令が送達されたのはArbitrum DAOです。なぜDAOが法的手続きの対象になったのかも整理しておきます。

ArbitrumがETHを凍結した経緯

攻撃直後、Arbitrum Security Councilは攻撃者のウォレットに残っていた資金を迅速に凍結しました。被害者への返還を目的とした「善意の行動」です。DeFi Unitedの復興活動と連携して、返還準備を進めていました。

ところが、この凍結という事実が「Arbitrumが資産を管理している」と解釈されることになります。凍結した側が、差し押さえ命令の名宛人になるという皮肉な構造です。

DAOは法的エンティティか？　という論点

Aaveの動議は「Arbitrum DAOは正式な法人格を持たないため、差し押さえ命令の送達先として適切ではない」という主張も含んでいます。DAOは分散型の自律組織であり、通常の法人のように法的手続きを受ける主体になり得るのかという問題です。

この論点はDeFiガバナンスの根幹に触れます。DAOが法的エンティティとして扱われるなら、今後あらゆるDAOが同様の法的リスクを抱えることになります。

Arbitrum財団の対応とガバナンス分裂

Arbitrum財団は「弁護士と協議中」との声明を発表し、ガバナンスフォーラムでも議論が起きています。Arbitrumコミュニティ内では復興ファンドへの資産移管を支持する声と、法的手続きへの対応を優先すべきとの声が対立しています。

DeFi United復興ファンドとは何か

7100万ドルをめぐる法廷闘争の傍らで、DeFi業界は独自の復興活動を進めています。

復興ファンド設立の背景

攻撃を受けたAaveのユーザーは、担保が不良化した状態のまま資産をロックされました。プロトコル自体は正常に機能していたにもかかわらず、担保の「前提」を崩されたことで損失を被っています。

Aaveを中心に、Consensys・Lido・Compound・Avalanche Foundationなどが協力して「DeFi United」を立ち上げました。目的は、rsETHの価値回復を支援し、被害者への補償を実現することです。

3億2700万ドル超の調達状況

2026年5月6日時点で、DeFi Unitedは約3億2700万ドル（137,700 ETH超）を調達済みです。これは争点となっている7100万ドルの約4.6倍に相当します。

資金面だけ見れば、凍結された7100万ドルがなくても補償は可能な規模です。にもかかわらず法廷闘争が続いているのは、金額の問題だけでなく「法的前例の問題」があるためです。

復興ファンドがあるのに差し押さえが続く理由

原告側は復興ファンドの存在を知りながら、差し押さえを取り下げていません。その理由として考えられるのは2つです。

• TRIA法によるDeFi資産差し押さえという前例を作ることに意義がある
• 未払い判決の回収手段として、今後も同様の手法を使えるようにしたい

この裁判はAaveの7100万ドルだけの問題ではなく、今後の北朝鮮関連資産の回収戦略全体に影響する可能性があります。

Lazarus Group（ラザルスグループ）とは？｜北朝鮮の国家的ハッカー集団

この事件の重要な前提として、攻撃者の正体を整理しておきます。

ラザルスグループの活動実績

Lazarus Groupは北朝鮮政府の指揮下にあるとされるサイバー攻撃集団です。2014年のソニー・ピクチャーズへの攻撃や、バングラデシュ中央銀行からの8100万ドル窃取などで知られています。

暗号資産分野では、2022年のRonin Network攻撃（6億2500万ドル）など大規模なDeFiハッキングを繰り返しています。ChainalsysisによるとLazarus Groupは2024年だけで6億5900万ドルを盗み出したとされています。

Chainalysis・TRM Labsによる帰属分析の手法

ブロックチェーン分析企業はオンチェーンデータを分析することで、攻撃者のウォレット追跡や資金フローの特定を行います。Lazarus Groupは過去の攻撃と類似したパターンやウォレットアドレスを使う傾向があり、これが帰属の根拠とされます。

ただし、オンチェーン分析はあくまで統計的・パターン的な推定であり、法廷で証拠として採用されるには別の手続きが必要です。

国家関与ハッキングとDeFiの相性が悪い理由

DeFiは誰でもアクセスでき、スマートコントラクトは自動的に動作します。攻撃者が正規の手順を踏んでいる限り、プロトコルは止められません。国家レベルの高度な攻撃に対して、DeFiの「無許可性（permissionless）」という特長が逆に脆弱性になります。

DeFiのセキュリティ設計は「悪意ある民間ハッカー」を想定したものであり、国家支援を受けた高度な攻撃への対応は十分ではないという指摘が業界内で強まっています。

この裁判がDeFi全体に与える影響とは？

法廷の判断がどちらに傾くかによって、DeFiの将来に大きな影響が生じます。

判決結果によって変わる二つのシナリオ

テロ被害者側が勝訴した場合、凍結された7100万ドルはAaveユーザーではなくテロ被害者遺族へ渡ります。北朝鮮がハッキングに関与した資産はTRIA法で差し押さえられるという前例が生まれます。

Aave側が勝訴した場合、資産はユーザー補償に充てられます。同時に「善意でハッキング資産を凍結・回収した者が法的リスクを負わない」という保護が確立されます。

「善意の回収者」が報われない先例となるリスク

Aaveが提起した重要な問いがあります。「もし差し押さえが認められるなら、誰もハッキングされた資産の回収に協力しなくなる」という点です。

回収行為が法的リスクを生むなら、DeFi業界の自律的なセキュリティ対応能力が根本から失われます。これはDeFiの存続にかかわる問題だと、Aaveの弁護士は主張しています。

DeFi規制議論への波及

この裁判はDeFiに対する米国の規制アプローチにも影響します。DAOが法的エンティティとして扱われるかどうか、スマートコントラクトが「管理者不在」であることがどう評価されるかという問題は、SEC（米証券取引委員会）などが進める規制検討とも連動します。

Aaveユーザーへの影響とは？

実際にAaveを使っているユーザーにとって、現在どういう状況なのかを整理します。

現在ユーザーの資産はどういう状態か

rsETH関連市場は凍結されており、新規の預入・借入が停止しています。ただし、rsETH以外の市場については通常通り機能しています。

攻撃直後はETH・USDT・USDCなど主要市場で利用率が100%に達するという流動性危機が起きていましたが、DeFi Unitedを通じた復興活動によってある程度の安定が戻っています。

不良債権1億7700万ドル問題の現状

KelpDAOの調査報告によると、Aaveには約1億7700万ドルの不良債権が残っています。この不良債権は、rsETHの価値回復と復興ファンドによる補填によって解消される見通しです。

DeFi Unitedが3億2700万ドルを調達済みであることを考えると、数字の上では解消可能な規模です。ただし実際の補償プロセスとスケジュールについては、ガバナンス上の合意形成が必要です。

ユーザーが今確認すべきこと

• rsETH関連ポジションを持っている場合：市場の凍結解除後の清算リスクを確認する
• 復興ファンドからの補償スケジュールをAaveガバナンスフォーラムで追う
• 5月6日の公聴会の結果によっては、補償のタイムラインが変わる可能性がある

現時点でユーザーが取れる行動は限られていますが、情報を継続的に確認することが重要です。

今後の見通しとは？｜裁判・復興・規制の三つの軸

この事件は、法廷・復興活動・業界規制という3つの文脈で同時進行しています。

5月6日公聴会の判断ポイント

ガーネット判事が注目するポイントは主に3つです。

• 差し押さえ命令を維持するべきか、Aaveの緊急動議を認めるか
• 原告側の「詐欺論」への転換を受け入れるか
• Arbitrum DAOへの送達が法的に有効かどうか

どの論点についても判断が難しく、即日決定でなく審議継続となる可能性もあります。

復興ファンドによる被害者補償のスケジュール感

DeFi Unitedは差し押さえ命令の結果にかかわらず、補償を進める意向を示しています。ただし凍結資産が別の用途に回れば、復興ファンドの負担が増えることは避けられません。

業界関係者の中には「裁判が長引くほど被害ユーザーの補償が遅れる」という懸念があります。早期解決に向けた和解交渉の可能性も、今後の注目点のひとつです。

今後の法整備に向けた業界の動き

今回の事件は、DeFi業界がTRIA法のような国家安全保障関連法の適用対象になりうることを示しました。米国議会ではすでにDeFi規制の議論が進んでいますが、今回の裁判の結果がその方向性に影響を与える可能性があります。

DeFiの「無許可性」と「法的管理の不在」という特徴が、今後は規制の標的にもなりえます。この裁判を契機に、DAOの法的地位や責任の所在について業界標準を作る動きが加速するかもしれません。

FAQ

Q. なぜ北朝鮮テロの被害者がAaveのハッキング資金を請求できるのか？

米国のTRIA法（テロリスト危険保険法）に基づき、テロ加害国の財産を差し押さえることができます。今回の攻撃がLazarus Group（北朝鮮国家のハッカー集団）によるものであれば、その資産は「北朝鮮の財産」として差し押さえられるという理論です。ただし、Lazarus Groupの関与は法的に確定した事実ではなく、オンチェーン分析に基づく推定の段階です。

Q. 「詐欺」と「窃盗」で法的扱いが変わるのはなぜか？

窃盗の場合、盗んだ者は財産の所有権を得られないため、差し押さえる「北朝鮮の財産」という要件が成立しにくくなります。一方、詐欺の場合は「詐欺師は被害者から一時的に財産の権利を取得する」という法理が適用できる可能性があります。原告側は差し押さえを正当化するために、この理論的な構成を変更しました。

Q. Aaveユーザーは自分の資産を取り戻せるのか？

DeFi Unitedが3億2700万ドル超を調達しており、数字の上では補償できる規模です。ただし補償の実施にはガバナンス上の手続きが必要で、裁判の結果がスケジュールに影響します。rsETH以外の市場は通常通り稼働しています。最新情報はAaveガバナンスフォーラムで確認してください。

Q. Arbitrum DAOが差し押さえ命令を受けたのはなぜか？

Arbitrum Security Councilが攻撃者のウォレットから30,766 ETHを凍結したため、「資産を管理しているエンティティ」として差し押さえ命令の対象になりました。Aaveはこの点について、DAOは法的な法人格を持たないため差し押さえ命令の送達先として不適切と主張しています。

Q. DeFi United復興ファンドとは何で、今どうなっているのか？

Aave・Consensys・Lido・Compound・Avalanche Foundationなどが設立した業界主導の復興ファンドです。2026年5月6日時点で3億2700万ドル超（約137,700 ETH）を調達済みで、Kelp DAOハッキングの被害者補償を目的としています。差し押さえ命令の結果にかかわらず補償を進める方針ですが、凍結資産が別途流出すれば負担が増えます。

まとめ

この事件が提起している問題は、DeFiと既存の法体系の間にある根本的なギャップです。スマートコントラクトは自動で動き、DAOには法的な管理者がいない。その非中央集権性がDeFiの強みである一方、国家レベルの攻撃への対応や法的手続きへの対応において、致命的な弱点にもなります。

テロ被害者の請求は理解できるものです。しかし、その請求先がハッキングの被害を受けた無関係のDeFiユーザーである、という構図が今回の問題の核心にあります。裁判の行方がどうなるにせよ、DeFiプロトコルの運営にあたっては法的リスクへの備えが欠かせなくなっています。今後DAOの法的地位や復興活動の法的保護を明確にする制度設計の議論は避けて通れません。裁判の続報と合わせて注目が必要です。

参考文献

• “North Korea terror victims escalate fight to seize $71 million from Aave hack” – CoinDesk
• “DeFi lender Aave asks court to block $71 million crypto seizure tied to North Korea claims” – CoinDesk
• “Aave secures emergency hearing to void ‘catastrophic’ restraining order” – DL News
• “Aave Fights to Block $71M Crypto Seizure in North Korea Legal Clash” – CoinPedia
• “500億円規模のKelpDAOハッキング事件はなぜ起きたのか、北朝鮮のハッカー集団「Lazarus」が関与とLayerZeroが発表” – GIGAZINE
• “Kelp DAOハッキングで揺れるDeFi業界、責任の所在から国家レベルの脅威まで議論噴出” – CoinPost / Yahoo!ファイナンス
• “Kelp DAO、約466億円のrsETH流出──2026年最大のDeFiハッキング被害” – JinaCoin
• “KelpDAOがハッキング調査を実施、LayerZeroの脆弱性を指摘” – CryptoNews JP
• “Aaveが緊急動議｜7300万ドル分ETHの差し押さえ解除を要求” – CryptoDnes日本語版
• “Aave could face up to $230m in losses after Kelp DAO bridge exploit triggers DeFi chaos” – CoinDesk