Aave Ripristina WETH: rsETH Kelp al 95% Recuperato

Oggi Aave ha riacceso i prestiti in WETH su sei network. Fine crisi? Quasi. Il 95% degli rsETH unbacked è stato recuperato nel giro di trenta giorni dall'exploit più grande della storia DeFi nel 2026. Ma 30.765 ETH, vale a dire circa 71 milioni di dollari, restano congelati su Arbitrum, contesi da tre soggetti che non vanno d'accordo su chi abbia il diritto di tenerli. Il tribunale federale di Manhattan dovrà rispondere. Nel frattempo, DeFi ha fatto qualcosa di insolito. Ha dimostrato di saper riparare i propri danni in modo coordinato, senza aspettare lo Stato.

Compromissione dei nodi RPC che alimentano il DVN (Decentralized Verifier Network) di LayerZero Labs, combinata con un attacco DDoS ai nodi non compromessi. I nodi infetti hanno iniettato un messaggio cross-chain falso da Unichain, convincendo il contratto Ethereum a rilasciare 116.500 rsETH senza alcuna copertura. Configurazione 1-di-1 DVN: unico punto di fallimento.

Kelp pausa i contratti core alle 18:21 UTC (46 minuti dopo il drain), bloccando due tentativi seguenti da $100M. Aave, SparkLend e Fluid congelano i mercati rsETH. Il 21 aprile il Security Council di Arbitrum congela 30.765 ETH. Il 23 aprile Aave lancia DeFi United con Lido, EtherFi e Stani Kulechov.

Fonte: Aave Governance Forum · CoinDesk · 18 maggio 2026

Come DeFi United ha ricostruito quello che Lazarus aveva distrutto

23 aprile 2026, cinque giorni dopo l'exploit. Stani Kulechov, fondatore di Aave, annuncia un contributo personale di 5.000 ETH. Lo seguono Lido Finance con 2.500 stETH (circa $5,7 milioni) e EtherFi con un piano da 5.000 ETH. L'iniziativa prende il nome di DeFi United: un fondo di recupero coordinato, costruito in settimane, senza nessun mandato istituzionale. L'obiettivo era coprire l'ammanco di rsETH e impedire le liquidazioni forzate a cascata su tutto il sistema. Alla fine ha raccolto $327,95 milioni. Quattro volte il necessario. La coalizione ha fatto quadrato attorno al problema prima ancora che i regolatori si svegliassero. Per il contesto completo sull'hack originale: Kelp DAO: $292M drenati dal bridge rsETH LayerZero. La disputa tecnica tra Kelp e LayerZero è analizzata qui: LayerZero accusa Lazarus Group e Kelp risponde sulla config DVN.

On April 18 at 17:35 UTC, an attacker drained 116,500 rsETH (~$292M, ~18% of circulating supply) from Kelp DAO's LayerZero-powered bridge.

$292M drained, 2026's largest DeFi hack so far.

Here's how it unfolded and what it means. 👇 https://t.co/D7i53vaj6p

— CredShields (@CredShields) April 19, 2026

Oggi, 18 maggio, Aave ha ripristinato i rapporti loan-to-value per il WETH su sei deployment V3 (Ethereum Core, Ethereum Prime, Arbitrum, Base, Mantle e Linea), riportandoli ai valori pre-exploit. Il comunicato ufficiale su X è arrivato alle 7:05 UTC. Tradotto per chi usa DeFi: il mercato di prestito più importante dell'ecosistema è di nuovo pienamente funzionante. Torna la capacità di prendere a prestito contro ETH su sei network, torna la liquidità, tornano le strategie leva che erano rimaste bloccate per un mese.

Cosa è successo all'exploit Kelp DAO e chi pagherà le perdite?

Il Gruppo Lazarus della Corea del Nord, secondo la ricostruzione di LayerZero e Chainalysis, ha condotto un'operazione in tre fasi. Prima ha compromesso due nodi RPC che alimentavano il verificatore del bridge. Poi ha lanciato un attacco DDoS contro i nodi non compromessi per farli cadere offline, lasciando come unica fonte di dati quelli già controllati. Infine ha iniettato un messaggio cross-chain falso da Unichain, ordinando al contratto Ethereum di rilasciare 116.500 rsETH, come se un'operazione legittima fosse avvenuta su Unichain. Non era avvenuta nulla. Sul lato Unichain c'erano in circolazione circa 49 rsETH. Il messaggio diceva 116.500. Il contratto ha eseguito. Ouch.

La configurazione 1-di-1 DVN era il punto fragile. Un solo verificatore, nessun controllo ridondante. Kelp sostiene che fosse la configurazione predefinita di LayerZero al momento del deployment; LayerZero dice di aver raccomandato più verificatori. Il 40% dei protocolli attivi su LayerZero usa ancora oggi lo stesso setup, secondo le stime pubblicate al momento dell'attacco. Per l'adozione crypto istituzionale in Italia: Bitcoin in Italia: dal boom retail alle istituzioni. E per come dichiarare gli asset in Italia: Bitcoin e ISEE 2026: guida completa.

I $71M congelati e la battaglia con le vittime nordcoreane

21 aprile. Il Security Council di Arbitrum congela 30.765 ETH, pari a circa $71 milioni al momento dell'azione, recuperati nei movimenti on-chain collegati all'attaccante. L'intenzione era restituirli agli utenti penalizzati. Ma il 5 maggio avvocati che rappresentano vittime americane di terrorismo nordcoreano depositano un'istanza al tribunale federale del distretto sud di New York. La tesi: quei fondi sarebbero "proprietà di stato nordcoreano" ai sensi del Terrorism Risk Insurance Act (TRIA), quindi pignorabili per coprire le sentenze già ottenute contro Pyongyang.

Aave ha risposto con una memoria al tribunale: i fondi appartengono agli utenti del protocollo, non alla Corea del Nord. Tenerli bloccati causerebbe "liquidazioni a cascata e danni irreparabili" a chi non ha nulla a che fare con Lazarus Group. Tuttavia, la controparte ha alzato la posta in un secondo deposito del 6 maggio: la posizione di Aave è indebolita dai propri termini di servizio, che dichiarano esplicitamente che la piattaforma non ha "possesso, custodia o controllo" sugli asset degli utenti. Se non li controlla, come può rivendicarli davanti al giudice? DeFi United ha nel frattempo raccolto $327 milioni, quattro volte il valore contestato. Sul piano dei numeri, i $71M non sono necessari al recovery. Sul piano legale, il precedente che stabilirebbero lo è enormemente.

Il contesto geopolitico che alimenta questi eventi: Bitcoin tra geopolitica e oro digitale. Per l'adozione istituzionale italiana: Intesa Sanpaolo e i $96M in ETF Bitcoin. Sul boom degli asset digitali in Italia: Asset digitali: clienti raddoppiati in due anni.

Il 40% dei protocolli su LayerZero risulta ancora configurato con un singolo verificatore, secondo i dati pubblicati a ridosso dell'attacco. SEAL-911, la task force di sicurezza DeFi, ha indicato che un secondo tentativo bloccato da Kelp alle 18:26 UTC del 18 aprile avrebbe sottratto altri $200 milioni circa. Il sistema ha retto per 46 minuti prima di attivare la pausa. Un'eternità per un bridge che processa miliardi. La domanda che il settore si porta dietro è quella che LayerZero non ha ancora risposto completamente: quanti altri contratti in produzione accetterebbero oggi una firma falsa come quella del 18 aprile, semplicemente perché nessuno ha ancora aggiornato la configurazione?