Piattaforma di restaking Kelp sfruttata, $293M sottratti

Lo sviluppo

Il 18 aprile 2026 la piattaforma di restaking Kelp è stata sfruttata e circa $293 milioni sono stati sottratti in quello che la società di sicurezza blockchain Cyvers ha definito un "contagio cross-protocol" che ha colpito almeno nove protocolli crypto (Cointelegraph, 18 apr 2026; dichiarazione di Cyvers). L'incidente si è svolto on-chain attraverso una serie di transazioni che hanno rapidamente ridistribuito valore su molteplici smart contract, esponendo rischi infrastrutturali nelle primitive di staking composabili. L'analisi forense iniziale condotta da Cyvers e da ricercatori on-chain indipendenti indica che l'attaccante ha sfruttato una vulnerabilità nella logica di restaking di Kelp per estrarre valore e interagire con protocolli a valle. Le segnalazioni pubbliche e le tracce degli smart contract catturate on-chain hanno documentato i movimenti entro poche ore dalla prima transazione di exploit; l'ampiezza dei protocolli colpiti ha elevato l'evento da un fallimento su singolo protocollo a un evento sistemico multi-protocollo nella DeFi.

Kelp fa parte di un ecosistema emergente di restaking che consente agli asset vincolati dei validator di essere riutilizzati per fornire servizi aggiuntivi o esposizioni collateralizzate, un modello che incrementa l'efficienza del capitale ma che amplifica anche l'interdipendenza tra protocolli. L'exploit dimostra come una debolezza in un contratto di restaking fondamentale possa propagarsi attraverso contratti associati e pool di liquidità, innescando meccanismi di liquidazione automatica e rapida fuga di valore. La valutazione di Cyvers, secondo cui nove protocolli distinti sono stati impattati, indica che la composabilità crea esposizioni tecniche e di controparte condivise — una caratteristica strutturale della DeFi che ha ripetutamente amplificato guasti singoli in shock di mercato più ampi. I partecipanti al mercato e i custodi che hanno monitorato l'evento hanno osservato immediato stress di liquidità nei mercati dei token coinvolti, con dislocazioni di prezzo localizzate e improvvisa pressione di prelievo su diverse piattaforme decentralizzate.

Le risposte immediate hanno incluso ritiri temporanei o limitazioni da parte di alcuni controparti, un aumento degli alert da parte di società di analytics on-chain e dichiarazioni dai manutentori di Kelp che riconoscevano l'evento e un processo di risposta in corso. Il 18 aprile 2026 è stato riportato che forze dell'ordine e team di analytics blockchain avevano iniziato a tracciare i fondi sottratti; storicamente questi sforzi hanno avuto successo variabile a seconda dei percorsi utilizzati dagli attaccanti e del grado di mixing on-chain. La rapidità dell'attacco e la velocità con cui si è propagato attraverso i protocolli hanno posto un premio sulla velocità forense e sul coordinamento inter-istituzionale, evidenziando le sfide operative affrontate da custodi, assicuratori e allocatori istituzionali quando una nuova primitiva viene compromessa.

Contesto

Il restaking è emerso come area di crescita nella finanza decentralizzata, promettendo rendimenti incrementali permettendo il riutilizzo degli asset vincolati dei validator in protocolli permissionless. Questa composabilità ha attirato attenzione di sviluppatori e capitale, ma crea anche dipendenze stratificate: un guasto in un contratto di restaking si propaga nello stack più ampio di derivati di liquid staking, mercati derivati e pool di lending. L'evento Kelp del 18 aprile 2026 illustra il trade-off tra efficienza del capitale e rischio sistemico — una singola primitiva sfruttata può trasmettere shock attraverso molteplici pool di valore e smart contract. Il registro pubblico di Cyvers e degli explorer on-chain mostra che nove protocolli hanno subito impatti diretti o indiretti, sottolineando la natura interconnessa degli esperimenti DeFi moderni.

Per prospettiva storica, la perdita di $293 milioni di Kelp si colloca tra le perdite più rilevanti nella DeFi degli ultimi cinque anni ma non è il singolo incidente più grande. A confronto, l'exploit del bridge Ronin nel marzo 2022 ha portato a circa $625 milioni sottratti, e l'exploit del bridge Wormhole nel febbraio 2022 era nell'ordine di $320 milioni (reporting pubblico, 2022). Questi precedenti storici informano le risposte istituzionali: regolatori e custodi ora trattano il contagio cross-protocol come un probabile effetto di secondo ordine dopo qualsiasi exploit significativo a livello di protocollo. La curva di apprendimento dell'industria dal 2022 include un uso esteso di analytics forense, flussi di controllo multifirma migliorati e una rinnovata domanda per prodotti assicurativi on-chain — sebbene limiti di copertura ed esclusioni rimangano vincoli materiali.

L'incidente Kelp interseca inoltre la continua attenzione politica e regolamentare. Le giurisdizioni che valutano regole su stablecoin, staking e custodia faranno riferimento a incidenti come questo nelle loro deliberazioni, concentrandosi su tutele per i consumatori, standard per i custodi e requisiti di disclosure per prodotti composabili. Gli investitori istituzionali che osservano il settore peseranno il rischio tecnico di controparte in maniera più attenta dopo questo evento, in particolare quando i protocolli permettono il riutilizzo di asset vincolati senza chiara segregazione dei doveri o buffer di capitale.

Analisi dei dati

I punti quantificabili chiave di questo evento sono la perdita di headline di $293 milioni, la data del 18 aprile 2026 del report pubblico (Cointelegraph) e l'osservazione specifica di Cyvers che nove protocolli sono stati colpiti. Suddividere i $293 milioni su nove protocolli produce una media aritmetica di circa $32,6 milioni per protocollo, sebbene le tracce on-chain mostrino una distribuzione non uniforme: un sottoinsieme di protocolli ha assorbito trasferimenti maggiori mentre altri hanno registrato effetti secondari minori. Questa dispersione sbilanciata è tipica dei fallimenti di composabilità dove i contratti primari convogliano fondi prima in pool ad alta liquidità, con effetti a catena in sedi a bassa liquidità.

Le linee temporali ricostruite on-chain da analisti indipendenti mostrano che l'exploit iniziale e i trasferimenti di valore immediati sono avvenuti in una finestra temporale compressa il 18 aprile, e interazioni successive con protocolli hanno esteso il contagio per ore. I team forensi si sono concentrati sull'identificazione di indirizzi aggregatori, interazioni con pool di liquidità e qualsiasi movimento in uscita verso exchange centralizzati o mixer che potrebbero ostacolare il recupero. Mentre il vettore preciso — che si tratti di un difetto logico, reentrancy o manipolazione degli oracoli — è sotto indagine,