LayerZero si impegna per 23 milioni di dollari in DeFi United dopo il fallout dell'exploit KelpDAO da 292 milioni di dollari

LayerZero si impegnerà a contribuire con 10.000 ETH per aiutare a ripulire l'exploit Kelp DAO da 292 milioni di dollari, 5 giorni dopo aver visto i rivali scrivere assegni importanti. La società ha pubblicato su X, dicendo che depositerà 5.000 ETH nel fondo di salvataggio DeFi United e altri 5.000 ETH direttamente in Aave per rafforzare la sua liquidità. Si è anche impegnata a supportare la liquidità di GHO. 

Seguendo l'attacco, DeFi United sta correndo per ripristinare il pieno supporto per il token. La coalizione ha da allora pubblicato un piano di recupero tecnico che si basa su depositi di ETH in fase di staging nel contratto di lockbox di Kelp,

Come è successo effettivamente l'hack da $292M e cosa ha rotto?

Il 18 aprile, 2026, gli attaccanti hanno rubato $292 milioni da Kelp DAO alimentando il suo bridge con dati falsi per imitare una transazione reale. Kelp ha fermato ulteriori tentativi 46 minuti dopo, ma il sistema aveva già rilasciato i primi 116.500 rsETH in una singola transazione.

LayerZero ha attribuito la colpa a TraderTraitor, una sottounità di Corea del Nord Lazarus Group, collegato a un altro hack da $285M il 1 aprile 2026. Quando combinati, il Gruppo Lazarus ha svuotato oltre $575 milioni da DeFi in soli 18 giorni utilizzando due diversi metodi di attacco. 

Invece di vendere i token rubati sul mercato aperto, l'attaccante ha depositato circa 90.000 rsETH in Aave e ha preso in prestito circa 190 milioni di dollari in ETH reale e altre attività. Questo ha lasciato Aave con un debito cattivo che il protocollo non è riuscito a risolvere.

Il TVL di Aave è diminuito di circa $ 13 miliardi, da $32 miliardi a $20.3 miliardi, nell'arco di pochi giorni. Gli utenti non sono stati in grado di prelevare USDC o USDT a causa della liquidità esaurita.

Chi è da biasimare e perché ci sono voluti cinque giorni a LayerZero per impegnarsi?

La colpa è attribuita sia a Kelp DAO che a LayerZero. Kelp DAO aveva una configurazione debole 1-di-1, rendendola un singolo punto di guasto poiché solo un verificatore LayerZero poteva convalidare i messaggi. E mentre LayerZero ha avvertito che le opzioni multi-verificatore sono più sicure, Kelp dice che la configurazione predefinita utilizzata era quella descritta da LayerZero.

David Schwartz, CTO Emeritus di Ripple, ha sollevato alcune preoccupazioni sulla spiegazione di LayerZero. Ha citato commenti precedenti del CEO di LayerZero Bryan Pellegrino secondo cui nessuna applicazione utilizzava solo il DVN di LayerZero, definendoli falsi. Gli utenti di X hanno reagito in modo molto aggressivo perché molti utenti hanno etichettato LayerZero come quello dietro il caos. Lo hanno anche criticato per non aver donato aiuti ad Aave mentre altri depositavano assegni importanti.

Cinque giorni dopo, LayerZero ha contribuito con 10.000 ETH, una volta che il fondo di recupero ha superato i 300 milioni di dollari in impegni totali. Consensys e Joe Lubin si sono impegnati per 30.000 ETH e Mantle ha concesso un prestito a basso interesse di 30.000 ETH prima che LayerZero agisse. Stani Kulechov ha pubblicato su X e poi si è impegnato per 5.000 ETH, mentre Kelp ha contribuito con 2.000 ETH — proprio prima di LayerZero.

Cos'è DeFi United e come funziona il piano di recupero?

DeFi United è la coalizione di salvataggio formata per supportare Aave dopo gli attacchi. Secondo i rapporti, 14 entità si sono unite e hanno contribuito con sovvenzioni, depositi e linee di credito per salvare gli utenti di Aave. 

Chi si è impegnato a DeFi United e quanto

Il piano di recupero ha due parti principali. In primo luogo, i sostenitori convertiranno lentamente i loro ETH impegnati in rsETH e li depositeranno nel bridge di Kelp DAO. 

In secondo luogo, liquidano le posizioni rimanenti dell'attaccante su Aave e Compound attraverso procedure speciali per recuperare maggiori fondi. Arbitrum ha anche congelato 30.766 ETH dal portafoglio dell'attaccante, quindi la maggior parte dei fondi mancanti verrà recuperata se la governance approva.

Cosa significa questo per il DeFi?

Secondo Galaxy Research, il DeFi ha perso più di $605 milioni in soli 20 giorni su 12+ protocolli. Le applicazioni costruite su LayerZero devono ora aggiornarsi a un passaggio multi-verificatore più robusto, poiché LayerZero rifiuta qualsiasi applicazione che utilizzi un verificatore 1-di-1.

Secondo il DeFi, nessun singolo gruppo controlla il sistema. Ma come abbiamo visto, il recupero ha fatto affidamento su poteri centralizzati come l'approvazione di Arbitrum per azioni di emergenza, il congelamento dei portafogli da parte di Circle e le votazioni di governance accelerate da Aave.

La domanda che rimane è se il sistema abbia dimostrato di poter gestire il recupero autonomo, o se sia sopravvissuto solo grazie all'intervento di attori centralizzati. La risposta dipende dal fatto che i protocolli aggiornino i propri sistemi prima del prossimo attacco in arrivo.