North Korea Crypto Theft Cresce mentre Kelp DAO Cede

Il colpo di aprile

L’exploit di Kelp DAO conta molto più di un singolo protocollo perché descrive il rischio crypto nel 2026: attacchi più rapidi, contagio più ampio e attribuzione quasi immediata. Le ricostruzioni pubblicate in queste ore hanno collegato l’episodio a uno schema già noto, legato alla Corea del Nord, che combina precisione tecnica e velocità di monetizzazione. Qui non c’è solo un problema di sicurezza: c’è un problema di mercato, perché ogni grande breach costringe gli investitori a rivalutare la fiducia nelle infrastrutture che sorreggono rendimento, leva e liquidità.

Il punto scomodo è questo: il mercato continua spesso a trattare gli hack come eventi isolati, ma la sequenza recente di furti collegati alla DPRK suggerisce un quadro strutturale. Gli avversari stanno testando in modo sistematico i punti deboli di bridge, permessi e controlli operativi. Kelp DAO dimostra che DeFi non fallisce solo a livello di smart contract. Fallisce anche quando una protocollo dipende da una catena di ipotesi fragili, soprattutto se quelle ipotesi attraversano sistemi, team e confini di custodia.

Cosa mostrano i numeri

Le cronache iniziali hanno indicato che i furti crypto legati alla DPRK in aprile hanno superato $578 milioni, con Kelp DAO come episodio centrale. Le analisi del settore hanno poi collocato il singolo exploit attorno a $292 milioni, rendendolo uno dei maggiori attacchi DeFi dell’anno. Chainalysis ha inoltre indicato che nel 2025 gli attacchi attribuiti alla Corea del Nord hanno raggiunto circa $2 miliardi, con un totale cumulato noto vicino a $6,75 miliardi. Il quadro è quindi quello di una campagna persistente, non di un episodio isolato.

Conta anche il profilo tecnico. Nelle ricostruzioni pubbliche, l’attacco è stato associato a una debolezza nella validazione cross-chain, che ha permesso a messaggi fraudolenti di passare come legittimi. Questo è importante perché sposta l’attenzione da “codice difettoso” a “modello di fiducia difettoso”. Quando l’avversario riesce a colpire l’architettura di fiducia, non bastano audit e patch. Servono disciplina sui signer, governance più robusta e controlli operativi capaci di reggere anche quando la superficie tecnica sembra corretta.

Perché il caso pesa di più

La narrativa dominante nel mercato tratta ancora il rischio DeFi come una somma di incidenti separati. Oggi è una lettura troppo limitata. L’exploit di Kelp DAO mostra che gli attacchi di maggiore valore puntano sempre più alle giunture tra i protocolli, non solo ai contratti in sé. È una verità scomoda ma necessaria: le vulnerabilità più pericolose nascono spesso dalla composabilità, cioè proprio dalla caratteristica che ha reso DeFi così attraente. Più connessioni generano più utilità, ma anche più percorsi di fallimento.

Per gli investitori, questo significa che il “premio di sicurezza” non è un dettaglio marginale. I protocolli che offrono rendimenti elevati spesso incorporano diversi livelli di fragilità poco visibili: rischio bridge, rischio oracle, rischio signer, rischio coordinamento. Quando arriva un exploit importante, quel premio può allargarsi bruscamente su tutto il settore, non solo sul progetto colpito. I precedenti attribuiti alla Corea del Nord, incluso il caso Bybit indicato dall’FBI, hanno già mostrato che sofisticazione e scala possono convivere. Kelp DAO conferma la stessa lezione in versione DeFi.

Cosa significa per gli investitori

Gli investitori dovrebbero considerare che la perdita visibile è solo una parte del danno. Il costo più profondo è l’erosione della fiducia, e la fiducia influenza valutazioni, profondità di liquidità e adozione molto dopo il primo prelievo dei fondi. La domanda immediata non è se avverrà un altro exploit — è probabile — ma se il settore riuscirà a rafforzare i controlli più velocemente degli aggressori. In pratica, bisogna osservare bridge più restrittivi, verifica delle transazioni più rigorosa e una maggiore integrazione della sicurezza nel prodotto.

I segnali da seguire sono concreti: nuovi incident report, fondi congelati o recuperati, modifiche ai controlli cross-chain e, soprattutto, eventuali riduzioni di esposizione da parte di utenti istituzionali verso protocolli con architetture complesse. Va monitorato anche se exchange, custodian e lending venue inizieranno a trattare l’attribuzione DPRK come categoria operativa viva, non come etichetta retrospettiva.

Focus: Non è stato solo un furto: è stato un test di resistenza per il modello di fiducia su cui si regge DeFi.

Antonio Quinn, Director & Lead Bitcoin Analyst, The Chain Journal