Aave resta a -8 miliardi di dollari dopo l’hack di Kelp
L’hack non ha colpito il codice di Aave, ma la bridge di Kelp dietro rsETH; secondo DefiLlama i depositi restano quindi ben sotto il livello precedente al 18 aprile.
In breve
- Aave è ancora a 18,1 miliardi di dollari di depositi, cinque mesi dopo l’hack di Kelp, il 31% sotto il livello precedente all’attacco.
- L’hack non ha colpito gli smart contract di Aave, ma la cross-chain bridge di Kelp DAO, facendo sì che venissero sbloccati 116.500 rsETH.
- Aave ha stimato il bad debt tra 123,7 milioni di dollari e 230,1 milioni di dollari, mentre gli asset bridged e le cross-chain bridge mettono in luce rischi DeFi più ampi.
Aave è ancora ben sotto il livello precedente all’incidente, cinque mesi dopo l’hack di Kelp. I depositi sono arrivati a 18,1 miliardi di dollari (€15,5 miliardi), circa il 31% in meno rispetto ai 26,1 miliardi di dollari (€22,4 miliardi) del giorno prima dell’hack, secondo DefiLlama. Il protocollo in sé ha retto tecnicamente, ma il danno è passato attraverso il collaterale dietro ai prestiti.
Cosa è andato storto in Kelp
L’attacco del 18 aprile non ha preso di mira il codice di lending di Aave, ma la cross-chain bridge di Kelp DAO. Kelp è un protocollo di liquid restaking e rsETH è il suo token di ricevuta. Chi detiene rsETH non possiede ether direttamente, ma una rivendicazione su ether in staking, ed è proprio questa rivendicazione che è stata sfruttata tramite la bridge.
Gli attaccanti hanno manipolato i feed di dati di cui la bridge si fidava e hanno così inviato un messaggio falso. Di conseguenza sono stati sbloccati 116.500 rsETH, per un valore di circa 292 milioni di dollari (€251 milioni), quasi il 18% dell’offerta totale. La società di sicurezza Halborn ha collegato la falla a una configurazione con un singolo verificatore e a nodi dati compromessi. Chainalysis ha attribuito l’attacco alla Lazarus Group nordcoreana. Quindi non si è trattato di uno smart contract rotto, ma di una sicurezza insufficiente attorno alla bridge.
Conseguenze per Aave
Quei token non coperti sono poi finiti nei lending markets. Gli attaccanti hanno depositato 89.567 rsETH su Aave e hanno preso in prestito circa 193 milioni di dollari (€166 milioni) contro di essi. Aave ha messo in pausa rsETH in 11 mercati entro un’ora e ha congelato WETH due giorni dopo. Il protocollo ha dichiarato che gli smart contract non sono mai stati compromessi.
Nel suo rapporto sull’incidente, Aave ha stimato il bad debt a 123,7 milioni di dollari (€106 milioni) se le perdite fossero state distribuite in modo uniforme. Se si considera solo l’rsETH bridged, la cifra sale a 230,1 milioni di dollari (€197 milioni). In seguito protocolli concorrenti e un piano di recupero hanno colmato gran parte del buco, ma i depositanti sono tornati più lentamente di quanto il bilancio lasciasse pensare.
Perché la cosa conta più in generale
Il caso mostra quanto restino fragili le costruzioni cross-chain in DeFi. Nel 2026 gli hack sulle cross-chain bridge hanno già causato insieme oltre 328 milioni di dollari (€281 milioni) di perdite, sottolineando i rischi legati a questo tipo di infrastruttura. Per gli utenti crypto europei è rilevante, perché i token di ricevuta e gli asset bridged vengono usati sempre più spesso come collaterale nei lending markets.
La stessa domanda resta aperta anche fuori da Aave. Wrapped Bitcoin e token simili inseriscono sempre un livello in più tra il prestatore e l’asset sottostante. Chi usa questi token come collaterale deve quindi guardare non solo al prezzo, ma anche alla bridge, al numero di firmatari e al fatto che si tratti o meno di una rivendicazione su un’altra rivendicazione.
