S&P Globalは2026年9月17日、スマートコントラクト・セキュリティ企業OpenZeppelinを買収する契約を締結した。買収はまだ完了しておらず、所定のクロージング条件を満たす必要がある。
今回の狙いは、発行体の信用力や準備資産だけでなく、トークンを発行・移転・管理するコード自体を評価対象に加えることだ。DEXやDeFiにとっても、オンチェーン金融のリスク評価が制度化へ向かう重要な動きといえる。
S&P GlobalとOpenZeppelinの買収合意とは
S&P Globalの発表によると、同社はOpenZeppelinを買収する契約を締結した。買収金額などの財務条件は非公表で、取引はクロージング条件の充足を前提としている。したがって、現時点では「買収完了」ではなく「買収合意」と表現するのが正確だ。
買収後もOpenZeppelinは同じ名称を使い、独立した事業部門として運営を続ける予定である。共同創業者兼CEOのDemian Brener氏も引き続き事業を率い、S&P Global RatingsのYann Le Pallec社長に報告する体制となる。
OpenZeppelinは2015年創業のオンチェーン・セキュリティ企業だ。同社の公式発表では、OpenZeppelin Contractsを利用したコントラクトを通じて、累計37兆ドル超の価値が移転されたとしている。ただし、この数字はOpenZeppelinが保管・運用する資産額ではない。ライブラリを採用したコントラクト上で過去に移転された価値の累計である。
また、同社は900件を超えるセキュリティ案件を手掛け、本番公開前に1万件を超える脆弱性を発見したと説明している。S&P Globalは、こうした監査実績と開発基盤を自社のリスク評価事業へ取り込む。
なぜ格付け会社がスマートコントラクト企業を買うのか
従来の信用評価では、発行体の返済能力、資産内容、流動性、ガバナンスなどが中心となる。しかし、ステーブルコインやトークン化ファンド、DeFiでは、財務面が健全でもコードの欠陥によって損失が発生し得る。
例えば、十分な準備資産を持つトークンであっても、発行・償還機能のアクセス制御に不備があれば、不正な追加発行や資産凍結につながる可能性がある。アップグレード可能なコントラクトでは、管理者権限の侵害、実装変更の誤り、ストレージ互換性の破壊も検討対象になる。
OpenZeppelin Contractsは、ERC-20などのトークン実装に加え、Ownable、AccessControl、AccessManagerといった権限管理機能を提供する。OpenZeppelinの公式ドキュメントは、本番運用を想定する複雑なシステムでは単一所有者だけでは不足し得ることや、管理者権限を厳格に保護すべきことを説明している。
S&P Globalが狙うのは、こうした技術リスクを信用リスクや市場リスクと並べて扱える評価基盤だ。金融機関にとっては、「誰が発行したか」だけでなく、「どのコードが資産を動かし、誰がそのコードを変更できるか」を共通の尺度で確認する必要がある。
Kaikoへの投資とつながるオンチェーン戦略
今回の買収は単独の動きではない。S&P Globalは2026年9月14日、デジタル資産データ企業KaikoのシリーズB延長ラウンドを主導し、戦略的投資を行ったと発表している。OpenZeppelinの買収合意は、その3日後に公表された。
Kaikoは、取引所データ、価格情報、指数、オンチェーン・データ基盤を提供する企業である。S&P Dow Jones IndicesとKaikoは同月、両社の暗号資産指数を「S&P Kaiko Digital Asset Indices」として統合した。S&P Globalの発表では、Kaikoは世界の金融機関や規制当局など250超の組織を支援している。
役割を整理すると、Kaikoは価格、取引、市場データという「市場の観測」に強く、OpenZeppelinはコントラクト、権限、アップグレード、安全な開発という「技術基盤の検証」に強い。S&P Globalはそこへ格付け、ベンチマーク、金融機関向け流通網を組み合わせようとしている。
同社はすでにステーブルコインの安定性評価を提供し、DeFiプロトコルのSky Protocolに対する信用格付けも行っている。OpenZeppelinの技術を取り込めば、発行体や準備資産の評価に加え、スマートコントラクトの構成や運用権限まで分析範囲を広げられる可能性がある。ただし、具体的な新サービスの名称、評価方法、提供時期は発表されていない。
DEXとDeFiプロジェクトへの影響
DEXやレンディング市場では、スマートコントラクトが取引、担保管理、清算、手数料配分を自動執行する。UniswapのようなDEXでも、Aaveのようなレンディングプロトコルでも、コードの安全性と管理権限は利用者保護に直結する。なお、両プロジェクトが今回の買収案件に関与しているという意味ではない。
今後、銀行や資産運用会社がDeFiへ参加する際には、監査を一度受けたかどうかだけでなく、継続的な監視、アップグレード手順、緊急停止権限、管理鍵の保管方法まで問われる可能性が高い。OpenZeppelinが提供する監査、Monitor、Relayer、権限管理ツールなどは、この運用面と関係する。
一方、OpenZeppelin製ライブラリの採用は安全性の保証ではない。公式ライブラリを利用していても、プロジェクト独自の実装、複数コントラクトの組み合わせ、価格オラクル、管理鍵、フロントエンドなど別の場所に問題が存在し得る。OpenZeppelin自身も、アップグレード可能なコントラクトでは専用パッケージを利用し、初期化処理やストレージ互換性を適切に管理する必要があると説明している。
S&P Globalの参入によって、技術リスク評価が金融機関の審査項目として標準化されれば、DEX運営側には、コードだけでなく運用体制を説明できる文書と証跡が求められるだろう。
DEX利用者が確認したい実務上のポイント
一般利用者は、S&P GlobalやOpenZeppelinの名前だけでプロジェクトの安全性を判断すべきではない。Uniswap、Aave、Sky Protocolなど、知名度のあるプロジェクトを調べる場合でも、次の項目を個別に確認したい。
- 監査の対象と日付：監査後に大規模なアップグレードが行われていないか。現在稼働するコードが監査対象と一致するか。
- アップグレード権限：実装を変更できるのは誰か。マルチシグ、DAO、タイムロックなどの制約があるか。
- 緊急権限：送金停止、追加発行、資産凍結、パラメータ変更を実行できる主体を確認する。
- 外部依存関係：価格オラクル、ブリッジ、ステーブルコイン、フロントエンドが停止または侵害された場合の影響を調べる。
- インシデント対応：脆弱性報奨金、監視体制、緊急時の連絡手段、過去の事故報告が公開されているか。
OpenZeppelinのOwnable2Stepは、所有権の移転先が承認操作を行う二段階方式を採用する。AccessManagerは、複数コントラクトにまたがる権限を集中管理し、役割や実行遅延を設定するための仕組みだ。こうした部品を採用しているかだけでなく、実際に誰へ権限が割り当てられているかをオンチェーンで確認することが重要になる。
また、監査報告書に問題が記載されていても、それが修正済みとは限らない。「解決済み」「リスク受容」「未解決」といった判定を読み分ける必要がある。評価スコアが将来提供されたとしても、最終的な利用判断を単一の指標だけに委ねるべきではない。
買収後に注目すべき論点
第一の注目点は、OpenZeppelinのオープンソース開発がどう維持されるかである。S&P GlobalはOpenZeppelinを独立した事業部門として運営すると説明したが、ライブラリの開発方針、ライセンス、コミュニティとの関係に関する具体的な変更は公表していない。
第二は、オンチェーン・セキュリティ評価の独立性だ。OpenZeppelinは監査や開発支援を提供し、S&P Globalはリスク評価や格付けを行う。将来的に両者のサービスを組み合わせる場合、評価対象との利益相反をどのように管理し、評価方法をどこまで公開するかが重要になる。
第三は、技術評価の対象範囲である。スマートコントラクトだけを見ても、DEX全体の安全性は判断できない。Kaikoが扱う市場データ、OpenZeppelinが扱うコードと運用、S&P Globalが扱う信用・ベンチマークをどのように統合するかが、今回の戦略の成否を左右する。
買収条件の充足、取引完了の発表、新しいセキュリティ評価やベンチマークの公開、OpenZeppelin Contractsの運営方針が今後の確認事項となる。
まとめ
S&P GlobalによるOpenZeppelin買収合意は、オンチェーン金融の評価対象が、発行体の信用力や準備資産からスマートコントラクトの技術リスクへ広がる動きである。直前のKaikoへの戦略的投資と合わせると、S&P Globalが市場データ、指数、信用評価、コード・セキュリティを一体化しようとしていることが分かる。
DEX・DeFi業界にとっては、機関投資家が利用できる共通の技術評価基盤が整う可能性がある。一方で、監査済みライブラリの採用や大手企業の評価だけで安全性が保証されるわけではない。利用者は監査範囲、アップグレード権限、管理鍵、外部依存関係、インシデント対応を継続的に確認する必要がある。
