La DeFi è tornata a fare ciò che sa fare peggio nei momenti critici: promettere rendimenti da futuro finanziario e poi ricordare agli utenti che l’infrastruttura, sotto pressione, è ancora spaventosamente fragile. Il 18 aprile un attaccante ha sottratto circa 116.500 rsETH dal bridge di Kelp DAO basato su LayerZero, per un valore vicino ai 292 milioni di dollari, pari a circa il 18% dell’offerta circolante del token. Non è stato soltanto uno dei maggiori exploit DeFi dell’anno, ma un evento che ha immediatamente contaminato il resto del settore, trascinando con sé protocolli che non erano stati violati direttamente ma che si sono scoperti esposti allo stesso contagio sistemico.
Secondo le ricostruzioni emerse, l’attaccante ha abusato del layer di messaggistica cross-chain per far processare un’istruzione fraudolenta e liberare i fondi verso un wallet controllato, prefinanziato tramite Tornado Cash. La vera ferita, però, si è aperta pochi minuti dopo, quando gli rsETH sottratti sono stati depositati su Aave V3 come collaterale per prendere in prestito wrapped ether, generando circa 196 milioni di dollari di bad debt e spingendo il protocollo a congelare i mercati esposti all’asset. Aave non è stata bucata, ma nel mercato la distinzione tra colpa diretta e danno reale dura pochissimo: il suo TVL ha perso circa 6,6 miliardi di dollari e il token ha accusato un crollo a doppia cifra.
È qui che il caso Kelp DAO smette di essere una cronaca nera e diventa una questione politica per tutto l’ecosistema. I bridge cross-chain continuano a essere il punto in cui la DeFi concentra la sua ambizione più grande e la sua debolezza più cronica: collegare mondi diversi senza introdurre un rischio sproporzionato. Eppure ogni nuovo exploit racconta la stessa verità scomoda, cioè che la componibilità tra protocolli amplifica non solo i rendimenti, ma anche la velocità con cui il danno si propaga. L’attacco a Kelp è arrivato dopo il colpo da circa 285-286 milioni di dollari a Drift Protocol del primo aprile, attribuito da più analisti a soggetti legati alla Corea del Nord, confermando che aprile 2026 è già uno dei mesi peggiori per la sicurezza crypto recente.
Per chi osserva il settore con un minimo di memoria storica, il punto non è se la DeFi sopravviverà. Sopravviverà, come è sopravvissuto Bitcoin a ogni funerale mediatico e come Ethereum ha già dimostrato di saper trasformare crisi tecniche in cicli di innovazione. Ma non tutte le sopravvivenze sono uguali. Se ogni nuova stagione di yield viene accompagnata da bridge che saltano, collaterali tossici e miliardi che evaporano in poche ore, allora il problema non è più l’hack in sé: è il modello di fiducia che la DeFi continua a chiedere ai suoi utenti senza aver ancora finito di meritarselo. E a quel punto il mercato farà quello che sa fare meglio: non ascolterà i sermoni, guarderà solo il sangue per terra.
