55,2 Millionen Coins, 127 Transaktionen, das 243.000-Fache: Kava Lend wurde über Nacht leergeräumt, KAVA verlor an einem Tag 55,8 %, und noch immer ist nicht klar, was mit den Einlagen passiert.
Kurz gesagt, was passiert ist: Kava Lend, das native Kreditprotokoll auf der Kava-Blockchain, wurde am frühen Morgen des 14. November über einen kaum genutzten BUSD-Markt ausgenutzt. 55,2 Millionen KAVA aus dem Pool wurden leergeborgt, fast 49,2 Millionen davon über die BNB Chain transferiert und innerhalb einer Stunde verkauft. Der KAVA-Kurs fiel an einem Tag von 0,068 auf 0,03 US-Dollar. Die Verantwortlichen veröffentlichten drei Stellungnahmen, deren Kernaussage in zwei Sätzen zusammengefasst ist: Es gab keine unbegrenzte Ausgabe neuer Coins, und der Vorfall beschränkte sich auf Kava Lend. Zu den Schadenszahlen, der Ursache und der Entschädigung der Einleger sagte man jedoch kein Wort.
Was sich geändert hat: Die drei offiziellen Stellungnahmen und die Rekonstruktion der On-Chain-Aktivitäten im Abgleich
Zunächst zu den Aussagen der Verantwortlichen (offizieller Kava-X-Account @KAVA_CHAIN, 14. November 2026, drei Mitteilungen, alle in Pekinger Zeit):
19:28 Uhr, erste Mitteilung: Man verfolge ungewöhnliche Aktivitäten bei einer dApp im Ökosystem, das Team untersuche den Vorfall mit höchster Priorität. Beachte den Zeitpunkt: Der Angriff lief bereits seit mehr als sieben Stunden. Die Börse Upbit hatte Ein- und Auszahlungen schon mehr als eine Stunde vor den Verantwortlichen gestoppt.
20:01 Uhr, zweite Mitteilung: Man sei über den Transfer von KAVA auf der BSC und dessen Verkauf informiert; „Es handelt sich nicht um eine unbegrenzte Ausgabe neuer Coins. Der Vorfall wurde eingegrenzt und auf Kava Lend beschränkt.“ Partnerbörsen hätten Ein- und Auszahlungen vorsorglich ausgesetzt.
22:05 Uhr, dritte Mitteilung: Aus Vorsicht seien Auszahlungen über die Axelar-Bridge vorübergehend ausgesetzt worden; ein vollständiger Unfallbericht werde später veröffentlicht. Ein wichtiges Detail: Die gestohlenen Coins liefen über die LayerZero-Bridge, nicht über Axelar. Axelar wurde gestoppt, um eine zweite Angriffswelle zu verhindern.
Bis heute Mittag (15. November) gibt es weder eine vierte Stellungnahme noch einen Unfallbericht. Die Verantwortlichen haben den Begriff „gehackt“ bisher nicht verwendet und sprechen weiterhin von „ungewöhnlichen Aktivitäten“. Auch eine offizielle Schadenssumme oder die Ursache wurden nicht genannt.
Nun dazu, was tatsächlich On-Chain geschah (On-Chain-Analysen von The Block und Bitquery, abgeglichen mit Berichten mehrerer Medien):
Ab dem 8. November testete der Angreifer wiederholt diesen BUSD-Markt und bereitete den Angriff mehrere Tage lang vor.
Am 14. November um 12:01 Uhr (Pekinger Zeit) lieh sich der Angreifer zunächst einen kleinen Betrag in BUSD und drückte das Nettoangebot dieses inaktiven Markts auf nur noch zwei Basiseinheiten, also 0,00000002 US-Dollar. Der Code von Kava Lend schützte nur vor einem Nettoangebot, das „genau null“ betrug, nicht aber vor einem Wert „nahe null“. Innerhalb von drei Minuten schwoll der Einlagenzinsindex dieses Markts daraufhin auf etwa das 243.000-Fache an. Aus Sicht des Protokolls wurde die BUSD-Einlage des Angreifers dadurch astronomisch groß.
In den folgenden rund anderthalb Stunden nutzte der Angreifer diese künstlich aufgeblähte Sicherheit, um in 127 Transaktionen etwa 55,2 Millionen KAVA zu leihen. Nach jedem Kredit liquidierte er über ein zweites Konto einen Teil davon und umging so die Kreditobergrenze pro Konto. Der KAVA-Bestand im Pool sank von 55,33 Millionen auf nur noch 0,19 Coins – der Pool war praktisch leergeräumt.
Am 14. November um 17:59 Uhr wurden etwa 49,2 Millionen KAVA über LayerZero auf die BNB Chain transferiert und innerhalb einer Stunde fast vollständig verkauft. Dafür erhielt der Angreifer 3.006,5 BNB und 231.557 USDT, insgesamt etwa 2,09 Millionen US-Dollar. Zum Kurs von 0,068 US-Dollar vor dem Angriff waren die geliehenen Coins etwa 3,76 Millionen US-Dollar wert. Die On-Chain-Analyse zeigt außerdem, dass rund 1,17 Millionen US-Dollar der Beute anschließend in Monero umgetauscht wurden. Weitere 612.000 USDT wurden über eine Cross-Chain-Bridge markiert und blockiert; sie können vom Absender zurückgezogen werden und gelten daher nicht als wiedererlangt.
Warum der BUSD-Markt eine Schwachstelle war: Paxos stellte die Ausgabe von BUSD bereits 2023 ein. Dieser Markt war bei Kava Lend praktisch stillgelegt – unbeachtet und ungenutzt. Genau solche vergessenen Ecken sind besonders anfällig.
Wer ist betroffen? Vier Gruppen, vier unterschiedliche Situationen
Erste Gruppe: Einleger bei Kava Lend, die es unmittelbar trifft. Der Pool schuldet den Kreditgebern rund 55,2 Millionen KAVA, auf dem Konto sind jedoch nur noch 0,19 Coins. So groß ist die Liquiditätslücke. Kava hat bisher nicht mitgeteilt, ob und wie die Einleger entschädigt werden und aus welchen Mitteln. Laut Daten von DefiLlama sank der gesperrte Gesamtwert bei Kava Lend von 7,418 Millionen US-Dollar am 13. November auf zuletzt 5,549 Millionen US-Dollar. Der Pool schrumpft weiter.
Zweite Gruppe: alle KAVA-Halter. Der Kurs hat sich innerhalb eines Tages mehr als halbiert. Laut einem Snapshot von Binance KAVA/USDT und Finnhub (heute um 13:28 Uhr Pekinger Zeit) lag er bei 0,03027 US-Dollar – ein Rückgang von 55,8 % gegenüber dem vorherigen Schlusskurs von 0,06849 US-Dollar. Das Tagestief lag bei 0,02507 US-Dollar; am 14. November schloss der Kurs bei 0,03816 US-Dollar. Der 24-Stunden-Rückgang lag nach derselben Berechnungsmethode von CoinGlass bei etwa 60,9 %. Laut HTX fiel der Kurs bereits in der ersten Stunde nach Bekanntwerden der Nachricht um rund 42 %.
Dritte Gruppe: Menschen, die KAVA bei koreanischen Börsen halten. Upbit setzte am 14. November um 18:36 Uhr (Pekinger Zeit) als Erste Ein- und Auszahlungen von KAVA aus. Als Grundlage wurde die Durchführungsverordnung zum Gesetz zum Schutz von Nutzern virtueller Vermögenswerte genannt; später folgte ein zusätzlicher Hinweis zur Vorsicht beim Handel. Auch Bithumb und Coinone setzten KAVA-Transfers aus. Die Coins lassen sich vorerst nicht von den Börsen abziehen.
Vierte Gruppe: Wer über die Axelar-Bridge Vermögenswerte zu Kava transferieren möchte. Die Bridge ist ausgesetzt. Schicke keine weiteren Vermögenswerte darüber; sie könnten auf halbem Weg stecken bleiben.
Wichtige Zeitpunkte und offene Punkte: Drei Dinge sind bereits umgesetzt, zwei noch nicht
Bereits umgesetzt: ① Die Verantwortlichen dementierten eine unbegrenzte Ausgabe neuer Coins und erklärten, der Vorfall beschränke sich auf Kava Lend (14. November, 20:01 Uhr). ② Upbit, Bithumb und Coinone setzten KAVA-Ein- und -Auszahlungen aus. ③ Die Axelar-Bridge setzte Auszahlungen aus (22:05 Uhr).
Noch offen: ① Der vollständige Unfallbericht – ohne Zeitplan. ② Ein Entschädigungsplan für die Einleger – dazu wurde kein Wort gesagt.
Hinweis zur Einordnung: Die Schadenssumme von 3,76 Millionen US-Dollar ist eine Schätzung von The Block und Bitquery auf Basis des Kurses vor dem Angriff, keine offizielle Zahl. Zitiere sie nicht als offizielle Angabe. Auch die Zahlen von 243.000, 127 Transaktionen und 55,2 Millionen Coins stammen aus On-Chain-Analysen. Die Verantwortlichen bestätigten lediglich den Umstand des „Transfers über eine Cross-Chain-Bridge und des Verkaufs“.
Fünf Dinge, die Leser jetzt tun sollten
1. Wenn du bei Kava Lend Einlagen oder einen Kredit hast: Prüfe zunächst den Status deiner Position und mache Screenshots als Nachweis. Der Pool ist leer – zahle keine neuen Vermögenswerte ein. Ob und wann Auszahlungen möglich sind, geht aus dem offiziellen Unfallbericht hervor. Vertraue keinen Behauptungen in Gruppen über „interne Kanäle“ oder eine „vorzeitige Registrierung für Entschädigungen“.
2. Wenn du KAVA hältst: Prüfe die Mitteilungen deiner Börse. Die drei koreanischen Börsen haben Ein- und Auszahlungen bereits ausgesetzt; andere Börsen haben bisher keine einheitlichen Maßnahmen ergriffen. Versuche nicht wiederholt, Coins von einer Börse abzuziehen, die Ein- und Auszahlungen ausgesetzt hat – die Transaktion könnte hängen bleiben.
3. Schicke keine Vermögenswerte über die Axelar-Bridge zu Kava: Die Bridge ist ausgesetzt, und deine Vermögenswerte könnten auf halbem Weg stecken bleiben.
4. Solange die Verantwortlichen keinen Entschädigungsplan veröffentlicht haben, sind alle Links, Direktnachrichten und Formulare zu „Entschädigungsanträgen“ oder „Rückerstattungsregistrierungen“ gefälscht. Nicht anklicken und niemals deine Seed-Phrase eingeben.
5. Nicht voreilig den Dip kaufen: Die Ursache wurde nicht bekannt gegeben, der Bericht liegt nicht vor, eine Entschädigung ist nicht geregelt. Nachdem sich der Kurs innerhalb eines Tages halbiert hat, pendelt er noch immer um 0,03 US-Dollar – die Risiken sind noch nicht ausgeräumt.
Bao Baos Einschätzung: Bei diesem Angriff ist nicht die Summe am alarmierendsten – 3,76 Millionen US-Dollar sind für einen Diebstahl in diesem Jahr kein besonders hoher Betrag –, sondern die Methode: Ein seit Jahren stillgelegter BUSD-Markt und eine Randbedingung, die nur bei einem Nettoangebot von exakt null greift, reichten aus, um mehr als 55 Millionen Coins leerzuborgen. Ein kleiner Pool und ein Markt, den niemand nutzt – genau solche „vergessenen Ecken“ sind besonders anfällig. Meine Einschätzung: Solange der offizielle Bericht nicht vorliegt, sind die Risiken bei KAVA nicht ausgeräumt. Den Dip zu kaufen heißt, bei unvollständiger Informationslage zu wetten. Erst wenn die Ursache und der Entschädigungsplan aus dem Bericht vorliegen, lässt sich beurteilen, ob sich das lohnt. Meine Einschätzung ändere ich nur aus zwei Gründen: Der offizielle Bericht nennt die Ursache und einen Zeitplan für Entschädigungen, oder der Kava-Lend-Pool ist wieder so weithergestellt, dass normale Auszahlungen möglich sind. Umgekehrt gilt: Wenn sich der Bericht verzögert und es weiterhin keine Klarheit zur Entschädigung gibt, muss KAVA weiter nach einer Unterstützung suchen.
Drei Dinge, die du als Nächstes beobachten solltest
Erstens: Wann erscheint der vollständige Kava-Unfallbericht? Entscheidend ist, ob die Schadenssumme mit 3,76 Millionen US-Dollar beziffert wird, ob der Zinsindex-Algorithmus des BUSD-Markts als Ursache genannt wird, ob Einleger entschädigt werden und aus welchen Mitteln. Dieser Bericht setzt den Schlusspunkt unter die ganze Angelegenheit.
Zweitens: Wann werden die Axelar-Bridge und Ein- und Auszahlungen bei den koreanischen Börsen wieder freigegeben? Eine entsprechende Bekanntmachung würde bedeuten, dass die Verantwortlichen das Risiko für unter Kontrolle halten. Bleibt die Freigabe aus, ist das Problem größer, als es in den Stellungnahmen dargestellt wird.
Drittens: Kann sich der KAVA-Kurs wieder über 0,05 US-Dollar halten? Gelingt das nicht, zeigt das, dass der Markt weiterhin mit den Füßen abstimmt. Behalte außerdem im Blick, ob der gesperrte Gesamtwert bei Kava Lend weiter schrumpft.
Sobald eines dieser drei Dinge geklärt ist, veröffentliche ich umgehend einen Beitrag mit einer Gegenüberstellung – die Analyse des Unfallberichts und des Entschädigungsplans lohnt sich. Folge mir, dann siehst du den Bericht, sobald er erscheint.
Wenn du KAVA hältst: Wechselst du jetzt zur Risikominimierung in andere Anlagen oder wartest du erst den offiziellen Unfallbericht ab?
——Bao Bao