Kelp DAO ripristina rsETH mentre procede recupero da $292M

Paragrafo introduttivo

Kelp DAO e Aave hanno annunciato la ripresa delle operazioni su rsETH il 13 maggio 2026, mentre le attività di recupero relative a un exploit da $292 milioni avvenuto il 18 aprile 2026 progredivano, secondo The Block (13 maggio 2026). Il cluster di attaccanti è stato collegato dagli investigatori e dalla stampa al Lazarus Group, un attore con legami con la Corea del Nord, sollevando preoccupazioni circa il crimine informatico a sfondo statale che sfrutta primitive della finanza decentralizzata. Il riavvio operativo segue un congelamento e un processo di recupero coordinati che hanno coinvolto votazioni di governance di Kelp DAO e approvazioni tecniche dai manutentori e dagli integratori del protocollo Aave. I partecipanti al mercato hanno reagito con volatilità contenuta nei principali benchmark cripto; ether è stato scambiato entro una banda intraday del 3 percento il 13 maggio 2026 mentre la liquidità di rsETH ritornava gradualmente. Per gli investitori istituzionali, l'evento mette alla prova la resilienza del mercato, il coordinamento nella governance e le garanzie di custodia terze nei mercati dei derivati di staking liquido.

Contesto

L'exploit del 18 aprile 2026 ha rimosso circa $292 milioni di valore utente dai pool rsETH, provocando un immediato blocco dei depositi su rsETH e della relativa funzionalità dei mercati Aave mentre i protocolli cercavano di proteggere i pool di liquidità rimanenti (The Block, 13 maggio 2026). La rapidità del blocco è stata notevole: la governance e gli amministratori d'emergenza hanno eseguito misure protettive entro 24 ore dalla divulgazione dell'exploit, una cadenza di risposta più veloce rispetto a diversi incidenti storici in DeFi. Questa rapida contenzione contrasta con il compromesso del bridge Ronin del 2022 da circa $625 milioni, in cui gli operatori del bridge impiegarono più tempo a rilevare e neutralizzare i flussi degli attaccanti, ampliando le perdite e ritardando i tempi di rimedio. L'incidente di aprile ha inoltre reintrodotto il rischio geopolitico nei modelli di mercato cripto, poiché forze dell'ordine e società di analisi blockchain hanno pubblicamente associato l'exploit a pattern transazionali coerenti con il Lazarus Group.

Nel breve termine, gli utenti di rsETH e i fornitori di liquidità su Aave affrontano un rischio operativo concentrato legato a come i fondi recuperati vengono redistribuiti e secondo quali termini legali o di governance. La consultazione di governance di Kelp DAO del 12 maggio 2026 avrebbe approvato un riavvio a fasi, con finestre di monitoraggio in sola lettura e sblocco incrementale della liquidità; la votazione on-chain di Aave per riabilitare i mercati rsETH è seguita a controlli procedurali. La copertura di The Block (13 maggio 2026) suggerisce un approccio multi-step, che combina ingaggio legale, sorveglianza on-chain e limitazioni a livello di mercato per prevenire nuove sfruttamenti. Questi passaggi illustrano un'evoluzione nella risposta agli incidenti DeFi: il coordinamento tra DAO, team di protocollo e consulenti esterni di compliance è sempre più formalizzato rispetto agli approcci ad hoc del periodo 2020–2022.

Per gli investitori istituzionali, l'evento sottolinea un trade-off strutturale tra rendimento ed esposizione di custodia nei derivati di staking liquido. rsETH e token concorrenti di staking liquido come stETH o rETH offrono rendimento incrementale e composability, ma aggiungono anche rischi di controparte, smart contract e oracoli oltre all'esposizione base a ether. Confrontando le strategie orientate al rendimento il 13 maggio 2026, i pool rsETH avevano temporaneamente spread più stretti rispetto ai pool stETH a causa di vincoli di riserva e limiti imposti dalla governance. Questa compressione crea opportunità di arbitraggio transitorie ma aumenta anche il rischio di slippage per allocazioni istituzionali di grandi dimensioni.

Approfondimento dei dati

I fatti quantitativi principali sono semplici ma significativi: $292.000.000 sottratti il 18 aprile 2026; comunicazione pubblica della decisione di ripresa il 13 maggio 2026 (The Block); e valutazioni di attribuzione che citano cluster transazionali coerenti con le tattiche del Lazarus Group. Questi tre punti inquadrano la timeline operativa e la narrativa principale di attribuzione. Le tracce on-chain mostrano corridoi di finanziamento dagli indirizzi sfruttati verso servizi di mixing centralizzati e alcuni exchange, ma gli avvisi pubblici di recupero indicano che almeno una porzione del valore rubato è stata congelata o recuperata tramite azioni coordinate che hanno coinvolto custodi e team di sorveglianza on-chain, sebbene gli importi precisi recuperati rimangano soggetti a riservatezza legale.

Storicamente, l'entità dell'exploit di aprile lo colloca al di sotto dei più grandi exploit di bridge ma comunque nel segmento superiore delle perdite DeFi dal 2020. Per contesto, Ronin fu circa $625 milioni nel 2022 e Wormhole circa $320 milioni nel 2022; l'exploit Kelp a $292 milioni è quindi rilevante rispetto alle medie del settore ma non senza precedenti. Questa inquadratura comparativa è rilevante per il risk budgeting: i fondi che modellano scenari di perdita tail possono ora ricalibrare l'esposizione massima stimata per posizioni composite di staking liquido e lending. Una metrica pratica per i risk manager istituzionali è la concentrazione: un'allocazione dello 0,5% in rsETH in un portafoglio da $1 miliardo potrebbe tradursi in una perdita teorica di $5 milioni prima dei recuperi se si realizzasse uno scenario di perdita totale.

I dati di microstruttura di mercato attorno al 13 maggio mostrano un limitato spillover negli indici cripto principali: la volatilità spot di ether (ETH) è aumentata in modo modesto, con la volatilità realizzata su 1 giorno che è passata dal 2,1% al 3,8% nelle 24 ore intorno all'annuncio di ripresa del 13 maggio 2026 (feed di prezzi on-chain e exchange). Gli strumenti relative-value legati allo staking liquido — curve dei rendimenti dei derivati di staking e sconti dei token stakati rispetto al NAV — si sono allargati durante il congelamento e si sono ridotti con il riavvio a fasi. Queste dinamiche di prezzo indicano che i mercati scontano sia il rischio di ridispiegamento tecnico sia il rischio di esecuzione della governance quando le riprese sono condizionate e graduali.

Implicazioni per il settore

L'exploit e la risposta influenzeranno il comportamento dei regolatori e delle controparti istituzionali d'ora in avanti. In primo luogo, custodi, operatori di multisig e grandi sedi di liquidità accelereranno i requisiti contrattuali e tecnici per l'interazione con token di staking liquido che hanno integrazioni cross-protocol. Ci si può aspettare una due diligence più rigorosa sui firmatari multisig, funzionalità di amministrazione d'emergenza e clausole di esclusione nelle polizze assicurative in comm