La più grande violazione nel settore crypto del 2026: Kelp DAO colpita per 292 milioni di dollari con ether incapsulato bloccato su 20 blockchain
Un attaccante ha prosciugato 116.500 rsETH, circa il 18% dell’offerta circolante, dal bridge di Kelp alimentato da LayerZero sabato, scatenando blocchi di emergenza su Aave, SparkLend, Fluid e Upshift.
- Un attaccante ha sfruttato il bridge di Kelp DAO, basato su LayerZero, per drenare 116.500 rsETH—circa 292 milioni di dollari e grosso modo il 18 percento della fornitura circolante del token—scatenando una pausa d'emergenza sui contratti principali.
- Poiché il ponte deteneva riserve a sostegno di rsETH su oltre 20 reti, la perdita ha sollevato dubbi sulla copertura di rsETH sui layer 2 e ha scatenato una serie di blocchi del mercato da parte di protocolli tra cui Aave, SparkLend e Fluid.
- L’exploit, ora il più grande hack DeFi del 2026, arriva in un contesto di aumento generale degli attacchi DeFi e ha messo sotto intensa pressione il peg di rsETH e la capacità del Kelp DAO di soddisfare i rimborsi.
Un ponte cross-chain che detiene quasi un quinto della fornitura circolante di un token ether restakato è appena stato svuotato, e le conseguenze si stanno diffondendo nella DeFi più rapidamente di quanto Kelp DAO riesca a mettere in pausa i contratti.
Un attaccante ha drenato 116.500 rsETH (ether restaked) da Kelp DAO Ponte supportato da LayerZero alle 17:35 UTC di sabato, del valore approssimativo di 292 milioni di dollari ai prezzi correnti e rappresentante circa il 18% della fornitura in circolazione di 630.000 token rsETH tracciata da CoinGecko.
LayerZero è un layer di messaggistica cross-chain, ovvero l'infrastruttura che consente a diverse blockchain di inviare tra loro istruzioni verificate. Kelp DAO è un protocollo di liquid restaking, che prende ETH depositati dagli utenti, li indirizza tramite EigenLayer per guadagnare rendimenti aggiuntivi oltre alle ricompense standard di staking di Ethereum, e emette rsETH come ricevuta negoziabile.
Il bridge che è stato svuotato deteneva la riserva di rsETH a supporto delle versioni wrapped del token distribuite su oltre 20 altre blockchain.
L’attaccante ha ingannato il livello di messaggistica cross-chain di LayerZero facendogli credere che fosse arrivata una istruzione valida da un’altra rete, il che ha fatto scattare il ponte di Kelp per rilasciare 116.500 rsETH a un indirizzo controllato dall’attaccante.
Il multisig di emergency pauser di Kelp ha congelato i contratti core del protocollo 46 minuti dopo il drain riuscito, alle 18:21 UTC. Due tentativi successivi alle 18:26 UTC e 18:28 UTC sono stati entrambi annullati, ciascuno trasportando lo stesso pacchetto LayerZero che tentava un ulteriore drain di 40.000 rsETH del valore approssimativo di 100 milioni di dollari.
rsETH è distribuito su oltre 20 reti, tra cui Base, Arbitrum, Linea, Blast, Mantle e Scroll, con lo standard OFT di LayerZero che gestisce il movimento cross-chain.
L'rsETH detenuto nel bridge costituiva la riserva a sostegno delle versioni wrapped su ogni blockchain di layer 2, o reti che operano sopra Ethereum.
Con quella riserva esaurita, i detentori su implementazioni non-Ethereum si trovano ora ad affrontare la questione se i loro token abbiano qualcosa a supportarli, il che crea un circolo vizioso in cui i riscatti di panico sugli L2 esercitano pressione sull'offerta di Ethereum non interessata, potenzialmente costringendo Kelp a smobilitare le posizioni di restaking per onorare i prelievi.
La lista delle contagi è lunga e continua a crescere.
Aave ha congelato i mercati rsETH su V3 e V4 nel giro di ore, con il fondatore Stani Kulechov che ha confermato che l’exploit è stato esterno e che i contratti di Aave non sono stati compromessi. SparkLend e Fluid hanno congelato i loro mercati rsETH.
AAVE è sceso di circa il 10% mentre il mercato valutava un potenziale debito inesigibile.
Kelp, un prodotto sotto l'ombrello di KernelDAO, ha riconosciuto l'incidente nel suo primo post pubblico su X alle 20:10 UTC, quasi tre ore dopo il prelievo. Il protocollo ha dichiarato di essere in fase di indagine con LayerZero, Unichain, i suoi revisori e specialisti esterni di sicurezza. Non ha rivelato come l'exploit abbia bypassato la logica di validazione del ponte.
Se rsETH manterrà il peg durante il fine settimana dipenderà da quanto del flottante cross-chain tenterà di essere convertito in ETH su Ethereum e se Kelp riuscirà a recuperare una parte dei fondi sottratti prima che le tracce di Tornado Cash si raffreddino.
L'hackeraggio si verifica in un periodo straordinariamente ostile per la DeFi. Il protocollo di perpetual basato su Solana, Drift, è stato svuotato di circa 285 milioni di dollari il 1° aprile in un attacco successivamente collegato ad attori affiliati alla Corea del Nord, e almeno una dozzina di protocolli minori sono stati sfruttati nelle settimane successive, tra cui CoW Swap, Zerion, Rhea Finance e Silo Finance.
La perdita di 292 milioni di dollari di Kelp rappresenta ora il più grande exploit DeFi del 2026, superando Drift di qualche milione di dollari.
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
Diversified RWA stablecoins sustain 5-7% yield from real credit as crypto funding compresses to ~4%. GENIUS pushes yield off-chain; TAM grows to $4B in 3 years.
Diversified RWA stablecoins sustain 5-7% yield from real credit as crypto funding compresses to ~4%. GENIUS pushes yield off-chain; TAM grows to $4B in 3 years.
Perché è importante:
Diversified RWA stablecoins sustain 5-7% yield from real credit as crypto funding compresses to ~4%. GENIUS pushes yield off-chain; TAM grows to $4B in 3 years.
Ethereum posticipa il test Glamsterdam dopo che gli sviluppatori della sicurezza hanno segnalato rischi per i contratti esistenti
Il piano di regolamento di Ethereum in quattro minuti potrebbe ridurre i costi di trasferimento delle criptovalute
