USDX デペッグ危機の分析と示唆：何が崩れ、何を修正すべきか

近年の DeFi では、ボルトやステーブル連動型プロダクトの崩壊が相次いでいる。本稿はそれらの出来事を一本のストーリーとして束ね、その中に共通して潜む構造的な問題を整理する。ポイントはシンプルだ。不透明な構造の上に積み上げられた高利回りは、平時には成果に見えても、外部ショックと内部ボトルネックが同時に来た瞬間にシステムを折るレバレッジへと変わる。 市場はいま、「誰が運用しているか」ではなく、その運用がどのようなプロセスとデータの上に乗っているかを基準に価格を付け始めている。

1. 発端：Vault・イールド商品の拡張、警告、そして無視

時間の経過とともに、DeFi には数え切れないほどのボルトとイールド商品が生まれた。リスクを見えないところに押し込み、表向きには利回りの数字だけを掲げる構造が標準のように固定化された。「アイソレーテッド戦略」「マーケットニュートラル」「デルタニュートラル」といったラベルが信頼の代用品として機能した。ユーザーは個々のポジションをモニタリングすることをやめ、ヘッジ・ロールオーバー・担保管理をまとめてリスクキュレーターに委ねた。

その過程で、コミュニティの一部はかなり早い段階から警告を発していた。xUSD や Midas LYT といったプロダクトが代表例として繰り返し取り上げられた。彼らが指摘したポイントは大きく二つある。

一つ目は、オフチェーンヘッジ依存と権限型（パーミッションド）償還構造が外部からは見えないという点だ。ヘッジポジションが本当に存在するのか、どの方向にどれくらい開いているのか、ロールオーバーは適切に行われているのか、マージン余力は十分か、そして償還権がコードによって保証された権利なのか、それとも運営者の裁量なのかが検証できなければ、システムはショックに対して脆くなる。

二つ目は、同じリスク軸の上にレバレッジが何重にも積み重なっているという点だ。表面上は多くのボルトやマーケットが分離されているように見えても、実際には同じステーブル、同じヘッジ、同じオラクルに紐づいていればラベルが違うだけだ。わずかでも利回りを上げるためにこの構造の上にループをさらに重ねていけば、「アイソレーテッド」という約束は実質的な意味を失う。

こうした警告がほとんど無視されていたタイミングで、11 月 3 日に大規模な Balancer V2 エクスプロイトが発生した。コンポーザブルステーブルプールの精度（丸め処理）の脆弱性を突いた攻撃で、複数チェーンから 1 億ドル超の資産が抜き取られた。この攻撃自体は xUSD や USDX を直接狙ったものではないが、DeFi 全体のリスクプレミアムを一段引き上げた。取引所やレンディングプロトコルがマージン要件やファンディングレート、貸借金利カーブを短期間で引き直したのは自然な反応だ。この時点からは、「どこが最初に壊れるか」という問題になっていた。

市場のストレスが高まると、xUSD の発行元である Stream Finance に償還需要が殺到した。ユーザーは xUSD を USDC に償還したり、他の資産に乗り換えたりし始め、そのフローは瞬く間に加速した。その後の展開は教科書的だ。ペグを失ったトークン、反応が遅れるオラクル、詰まり始めた償還ゲートウェイ、そしてレバレッジで水増しされた TVL が一つの画面に重なり始めた。

2. 暴落と不良債権：価格崩壊、オラクルエラー、Bad Debt

11 月初頭から、xUSD の価格は激しく揺れ始めた。コミュニティの記録を総合すると、一時は 1.26 ドルまで割高に取引された後、反転して約 0.07 ドルまで落ち込んでいる。Stream Finance は公式に約 9,300 万ドルの損失が発生したと認めた。ここまでは、特定プロジェクトの破綻として終わる可能性もあった。

問題は、xUSD がオンチェーンで広範に担保として利用されていた点だ。Silo Finance、Morpho、Euler、Enclabs Finance など一部の過担保レンディングプロトコルでは、xUSD のオラクル価格が誤って 1.26 ドル近辺に固定されていた。オンチェーン価格が暴落してもオラクルは 1 ドル超を指し続けた。その結果、xUSD を担保にしたポジションは正常に清算できなくなり、複数のマーケットでBad Debt が急速に積み上がった。コミュニティでは不良債権の規模を1 億〜3 億ドル程度と推計したが、正確な数字は各プロトコルの事後精算と開示を待つ必要がある。

連鎖的なショックは他のステーブルにもすぐに波及した。Elixir の deUSD は担保の 65% を xUSD に依存していた。xUSD の価格崩壊とともに deUSD も1 ドルから 0.007 ドル近辺まで落ち込み、プロジェクトは事実上クローズの段階に入った。価格チャートと取引データには、急激な下落と流動性の枯渇がそのまま刻まれている。

同じ頃、Aave は Ethereum メインネットで deUSD・sdeUSD を担保に受け入れていたマーケットを一時停止した。オラクルは deUSD を 0.86 ドル前後まで低く読んでいた一方で、ルートによっては 1.06 ドル近辺を指し示す乖離も観測されたからだ。Aave は「やや遅れた誤った価格のまま運転を続ける」よりも、「一旦止めてリスクを再評価する」方を選んだ。システム設計の観点から見れば、エラー状態で回し続けるより、停止する方がマシという選択である。

ほぼ同じタイミングで、USDX と sUSDX の防衛線も崩れた。11 月 6 日、USDX は0.35〜0.60 ドル帯まで落ち込み、一部のアグリゲーターでは0.30 ドル台のプリントも捉えられた。直前まで1.1 ドル台で取引されていた sUSDX も、この前後で0.6 ドル台まで急落した。これは単なる価格変動ではなく、「償還が本当に機能しているのか」への疑念が価格に織り込まれた結果だ。

USDX の償還構造は当初から権限型だった。直接償還が可能なのは KYC/KYB を通過したアドレスだけであり、USDT 建ての7 日満期償還が基本ルートとなっている。危機局面でこの償還ゲートウェイに遅延が生じると、原資産（USDX）とステーキング請求権（sUSDX）との間の転換は実質的に止まってしまった。裁定取引者はもはや「安く買ってパーで償還し差額を抜く」最後の買い手として振る舞おうとしなくなった。その後の価格データには、USDX が0.064 ドル近辺まで沈んだローソク足がはっきりと刻まれている。

運営側は後になって「リカバリー・アレンジメント」を発表した。問題は、このプログラムが「自発的な復旧の試み」であり、「法的な償還義務や保証を意味しない」と明記された点にある。平時には規制フレームを強調していたプロジェクトが、危機の局面で「法的義務ではない」と言い出せば、市場はそれを即座に額面償還権の欠如として解釈する。この時点で USDX は「1 ドルを目指すトークン」ではあっても、「1 ドルを請求する権利」ではなくなる。

担保エクスポージャーを抱えるプロトコルの対応は大きく割れた。Lista DAO は有名になった LIP‑022 提案を通じて 1 時間の緊急投票を開き、投票が終わる前にフラッシュローンを使って USDX ポジションを強制清算した。その後、当該マーケットの金利は3%に再設定された。当時、借入金利が一時的に数百パーセントまで跳ね上がったという報道も出ている。一方で、いくつかのマーケットは損失をほとんど放置し、明確な対応を取らなかったため、市場の不確実性をさらに高める結果となった。

Sei エコシステムの sfastUSD も同様に、1 ドルからほぼゼロまで崩壊した。これを担保として受け入れていた Yei Finance は、約860 万ドルの不良債権をチーム資金で全額補填すると発表した。ユーザーの立場から見れば幸運だが、システムリスクの観点からは再び、「人の善意」に依存する構造は持続可能ではないことを示している。危機が起きたときにまず動くべきなのは、告知や任意の補填ではなく、コードと手続きである。

3. 余震：法的紛争の予兆、大規模な流出、TVL の下降

事案発生後、リスクキュレーターとレンディングプロトコルはそれぞれのやり方で対応に動き始めた。K3 Capital は法的措置の可能性を示唆し、Silo Finance も強制清算や法的手続きを含む対応オプションを公然と語った。これは単なる感情的反応ではなく、「この損失を誰がどのように負担するのか」をめぐる争いの前哨戦である。今後、裁判所・規制当局・DAO ガバナンスがすべて関与する複合的な紛争へ発展する可能性がある。

一方でユーザー側の反応ははるかに速く、単純だった。出金である。srUSD のリザーブダッシュボードは、残高が短期間で約 2 億 5,000 万ドルまで急速に減少していく様子を示しており、Midas 関連エコシステムでも、チームや外部アナリストが約 4 億ドル規模の流出に言及した。これは単一プロダクトからの逃避ではなく、「vault / yield」全体に対する信認の低下の結果だ。

TVL の下落は特に、レバレッジを用いて TVL を大きく膨らませていたリスクキュレーターに集中した。運営者ごとに数字は異なるものの、共通するパターンは明らかだ。レバレッジで水増しされた TVL は、市場が怖がり始めるとより速く縮む。 システムの安全性を信じて入ってきた資金ではなく、「他より少しだけ高い利回り」を見て入ってきた資金だからである。

4. 構造的解剖：なぜ同じパターンが繰り返されるのか

多くのプロジェクトやプロトコルが絡み合っているように見えるが、構造を分解すると共通点は大きく三つに整理できる。

4‑1. 証拠のないオフチェーンヘッジと権限型償還

一つ目は、オフチェーンヘッジと権限型償還についての証拠がないという点だ。USDX を例に取ると、ドキュメント上は Off‑Exchange Settlement（OES）口座に資産を保管し、複数の取引所にミラーリングされたポジションを立ててデルタを中立化していると説明されている。しかし外部からは、そのポジションが本当に存在するのか、どの方向にどれほど開いているのか、ロールオーバーは期日通りに行われているのか、マージン余力は足りているのかを知ることができない。

直接償還も限られたアドレスしか使えず、そのうえ7 日満期といった運用パラメータに縛られている。危機時に償還ゲートウェイが詰まれば、オンチェーン価格は情報ではなく恐怖の指標になってしまう。

4‑2. オラクルの脆弱なフェイルモード

二つ目は、オラクルのフェイルモードが脆弱であることだ。xUSD のように、オラクルがしばらくの間誤った基準価格を維持してしまうと、担保システムはバグ状態のまま回り続ける。このとき最も重要なのは、最後の小数点までの精度ではなく、値が途切れないこと（liveness）と、値がおかしく見えるときにどのように保守的にフェイルオーバーするかという明確なルールである。「一旦止めて再評価する」ボタンをどこまで自動化し、どこから人間やガバナンスレイヤーに委ねるかという設計が必要だ。

4‑3. ラベル上の分離と実物の分離とのギャップ

三つ目は、ラベル上の分離と実物の分離との不一致である。複数のボルトが別々の名前を掲げていても、内部的に同じオラクル・同じ償還ゲートウェイ・同じヘッジやオペレーションの仕組みにぶら下がっていれば、実質的には一つの巨大なポジションに過ぎない。

11 月中旬時点の USDX 流動性は、おおよそ Camelot V3 に約 839 万ドル、Curve に約 409 万ドル、Balancer V3 に約 317 万ドル、Balancer V2 に約 118 万ドル、Uniswap V3 には数万ドル程度しかなかった。このように流動性が薄く、複数のプールに細かく分散している状況では、特定プールの摩擦や歪みが全体のプライスディスカバリーに非線形な影響を与える。ラベル上は「isolated market」であっても、実物としては同じリスクが複数の場所に接続されているに過ぎない。

5. 比較フレーム：MetaMorpho が示す「遅い権限」と「ガラス張り」

これとは正反対の方向性を目指して設計されている例が Morpho / MetaMorpho だ。彼らの思想は「人を信じよう」ではなく、「プロセスを信じよう」という方向に設計を引き寄せることにある。

MetaMorpho Vault の核心は次の通りである。

• 担保認定比率、供給・借入上限、オラクルソース、どのマーケットにどれだけ配分するかといったすべての重要パラメータがオンチェーンの状態として公開されている。誰でもこれらの値を読み取り、Vault のリスクエクスポージャーを再構成できる。
• これらのパラメータを変更するにはタイムロックを通過しなければならない。誰かの気分や外部からの圧力で、今日いきなりリスク上限がひっくり返ることはない。
• ガーディアンやLP に拒否権を与え、リスクキュレーターが決定した変更が一定時間内であればブロックできる構造を作っている。
• Owner・Curator・Allocator・Guardian の役割を分離し、権限が一つの主体に集中しないようにしている。

報酬構造の観点から見ると、MetaMorpho が「リスク指標連動の報酬」を一律に強制しているわけではない。現実的には、ほとんどの Vault がパフォーマンスフィーとマネジメントフィー中心の報酬構造を採用している。ただし、各 Vault がどのようにリスク上限を設定し、どのようなリスクポリシーを使っているかは、オンチェーンの状態とドキュメントから確認できる。例えば、Hyperliquid の HYPE を基礎資産とする Felix Vault 群では、エクスポージャー上限・オラクル設定・ガーディアン・タイムロックの構成をチェーン上で直接参照できる。原則はプロトコル設計の中にあり、その実効性は各 Vault の設定から生まれる。

このフレームで見ると、今回の Vault 事案で問題となった多くの商品は、依然として「人を信じさせる構造」に留まっていた。一方で市場は徐々に、「プロセスを信じられる構造」にプレミアムを与え始めている。

6. 規制とコミュニケーション：償還権は「権利」か「善意」か

EU の MiCA 規則において、電子マネートークン（EMT）の核心は単純だ。額面どおりに発行し、いつでも額面で償還する権利を保証しなければならない。 保有者は望むときに発行体に対して額面償還を要求でき、発行体はこれに応じる義務を負う。

今回の事案に登場したステーブル群が実際に EEA 域内で EMT として認可・マーケティングされていたかどうかは、それぞれ個別に検証すべき論点だ。ただし原則レベルで見れば、償還権を権利として設計していない構造は EMT フレームと正面から衝突する。Stables Labs がリカバリープログラムを「自発的なものであり、法的な償還義務ではない」と規定したことは、規制フレームの観点から見ても、投資家心理の観点から見ても明確なシグナルである。市場はこれを即座にディスカウント要因として織り込んだ。

危機局面でのコミュニケーションは特に重要だ。償還ゲートウェイが詰まった「後になって」から「自発的な復旧」を強調しても、情報の非対称性のもとで損失を被った参加者は合理的に最悪のケースを想定する。信頼は危機のときに突然生まれるものではなく、平時からコードと契約で敷いておいた手続きを通じて積み上がるものだ。

7. 含意：今すぐ手を付けるべき五つの点

一つ目に、集中型リスクキュレーターの役割と責任を改めて定義し直す必要がある。カストディ、ヘッジ、償還に関する重要なシグナルを外部から検証可能な形で提供しない運用は、どれだけ高い利回りを示していても構造的に危険である。

二つ目に、パーミッションレスな過担保レンディングプロトコルの責任範囲について業界としてのコンセンサスが求められる。オラクルの選定とフェイルオーバーポリシー、特定担保に対する迅速な上限調整、標準化された緊急停止手順を「共通レイヤー」として束ねる必要がある。

三つ目に、Curated Vault が複数マーケットにまたがってエクスポージャーを発生させることで、「isolated market」という言葉の意味を希釈している問題を見直すべきだ。オラクル・償還・ヘッジ・運用リソースを実物レベルで分離しない限り、ラベル上の隔離には大きな意味がない。共有リソースを使わざるを得ないなら、少なくとも上限（cap）、サーキットブレーカー、ローカライズされた清算上限をルールとして組み込むべきだ。

四つ目に、イールド・リスクレーティングの重要性は今後さらに増すだろう。すでに複数のチームがこれをプロダクト化している。Credora Network は RedStone に買収され、信用・リスクデータとオラクルを組み合わせた構想を描いている。Exponential は自社アプリ Yo と連携し、Vault ごとのリターンとリスクを比較できるようにしている。Stablewatch と vaults.fyi はイールド・リスクインテリジェンスを提供し、Accountable は暗号学的に検証された Vault データを提供する。Block Analitica は Sky や Compound といったプロトコル向けにカスタムリスクダッシュボードを提供してきたし、Chaos Labs は Aave などのリスクフィードを公開している。こうしたツールが標準化されれば、ユーザーは「名前や宣伝」ではなく指標を見て Vault を選べるようになる。

五つ目に、リテール投資家の DYOR 基準も変わらなければならない。利回りの数字だけを比較しても意味はない。最低限、次の五点をチェックすべきだ。

1. オフチェーンヘッジを証明（Proof‑of‑Hedge）しているか。
2. 償還がオンチェーンの権利として保証されているか。
3. オラクルのフェイルオーバールールが明示されているか。
4. パラメータ変更にタイムロックとガーディアンが付いているか。
5. 流動性が薄すぎたり、特定プールに過度に偏っていないか。

8. 最小設計案：観測可能性、プロセス、権利

今回の事案を教訓に、次のサイクルで同じことを繰り返さないようにするには、少なくとも次の四つをデフォルトとする必要がある。

1. Proof‑of‑Hedge（ヘッジの証明）
   取引所署名付きのレシートやゼロ知識証明を用いて、総デルタ・マージン余力・ロールオーバー状況を定期的にオンチェーンへコミットすべきだ。個々のポジションをすべて公開しなくても、ヘッジの存在と十分性を証明できなければならない。

2. オンチェーン上の償還権
   償還は運営陣の「善意」ではなく、システムレベルの権利でなければならない。多少スピードが落ちても、償還パス、FIFO・優先順位、日中上限、非常時のヘアカット・按分配分ルールをコードとして固定すべきだ。危機時に最初に動くのは、人間の裁量ではなくこれらのルールである必要がある。

3. 遅い権限（Slow Permissions）
   タイムロック、ガーディアンの拒否権、役割分離を通じて、パラメータ変更を意図的に遅くするべきだ。安全性をもたらすのは「速い意思決定」ではなく、予測可能な意思決定である。

4. 実物レベルの分離と上限・サーキットブレーカー
   可能な限り、オラクル・ヘッジ・償還・運用リソースを実物レベルで分離し、どうしても共有せざるを得ない場合には上限とサーキットブレーカーを必ず設けるべきだ。共有ボトルネックが単一障害点へと収束しないようにしなければならない。

これら四つが揃っていなければ、ラベルが何であろうと同じストーリーが繰り返される。名前だけが違う新しい Vault が登場し、高利回りを掲げ、外部ショックと内部ボトルネックが重なった瞬間に、また別の「Vault 事案」が生まれるだろう。

結びにかえて

今回の出来事は、いくつかのプロジェクトの失敗談にとどまらない。裏付けのないヘッジ、権限型償還、脆弱なオラクルのフェイルモード、ラベルだけが分離された共有ボトルネックが一度に露呈した事件である。解決策は、派手な利回りカーブではなく、観測可能性・プロセス・権利という三本柱をコードとして固定することだ。Proof‑of‑Hedge、オンチェーンの償還権、遅い権限、実物レベルの分離──この四つが、次のサイクルを生き残るための最低条件である。