El protocolo de préstamos nativo de la blockchain pública de Kava, Kava Lend, fue vaciado el sábado por la noche. El atacante usó un pequeño préstamo en BUSD para inflar 243.000 veces el valor de la garantía de un mercado inactivo y, después, pidió prestados 55,2 millones de KAVA en 127 operaciones. El token se desplomó un 59 % en 24 horas. (Antecedentes: ¡Cronos detiene la red de emergencia! Manipulan el token de gobernanza de Tectonic y vacían 75 millones de dólares tras multiplicar su precio por cien en media hora) (Más contexto: ¡Bonzo Lend sufre un ataque al oráculo! Unos pocos dólares en garantía bastan para pedir prestados 9 millones de dólares en USDC y HBAR) El protocolo de préstamos Kava Lend sufrió un ataque anoche (día 14). El atacante pidió primero una cantidad ínfima de BUSD y redujo casi a cero la oferta neta del mercado de stablecoins, que llevaba tiempo inactivo. Así, en tres minutos, el protocolo reconoció su depósito como una cifra astronómica. Luego pidió prestados unos 55,2 millones de KAVA en 127 operaciones. Calculados al precio previo al ataque, de 0,068 dólares por token, esos KAVA tenían un valor contable de unos 3,76 millones de dólares. Mientras tanto, la cuenta modular del protocolo que guarda los depósitos colectivos pasó de 55,33 millones de KAVA a solo 0,19 en una hora y media. El precio del token también se desplomó. Tras conocerse la noticia, KAVA no dejó de caer y, al momento de redactar este artículo, cotizaba a 0,0276 dólares: una caída del 59,3 % en 24 horas. El mínimo de las últimas 24 horas fue de 0,02507 dólares. En comparación con los 0,068 dólares previos al ataque, las pérdidas contables sufridas por los tenedores en este incidente ya superan el valor de lo robado. Cotización de KAVA/USDT en las últimas 48 horas (fuente: Binance; gráfico elaborado por BlockTempo) La garantía se infló 240.000 veces en tres minutos Según la cronología de la cadena, el ataque comenzó el viernes a las 23:01, hora de Estados Unidos. El atacante pidió primero una cantidad ínfima de BUSD, lo que redujo la oferta neta del mercado de BUSD de Kava Lend a «una doscientosmillonésima parte de un dólar». El precio de los recibos de depósito de Kava Lend se calcula a partir de la oferta neta del mercado y de un modelo de tipos de interés. Cuando el denominador se reduce casi a cero, el protocolo multiplica por unas 243.000 veces el valor de cada depósito en BUSD durante los tres minutos siguientes. Así, los BUSD que el atacante había depositado previamente se convirtieron en una garantía equivalente a unos 1.250 millones de BUSD. La lógica de cálculo de los intereses y el tipo de cambio está publicada en el código abierto de Kava. Cualquiera puede calcular de antemano hasta qué punto debe caer la oferta neta para que el tipo de cambio se descontrole. Con esta garantía inflada de la nada, el atacante solicitó 127 préstamos de KAVA consecutivos y luego los liquidó uno por uno usando una segunda cuenta, eludiendo así el límite del protocolo al volumen total de préstamos en KAVA. Las huellas en la cadena indican que no fue una decisión improvisada: desde el 8 de noviembre ya se repetían los ciclos de depósitos y préstamos en el mismo mercado. El atacante se había preparado durante al menos una semana. 49,2 millones de KAVA trasladados a BNB Chain y liquidados en una hora A continuación, el atacante utilizó el puente entre cadenas LayerZero de Kava para enviar unos 49,2 millones de KAVA a una dirección en BNB Chain y liquidó casi todos en una hora. A cambio obtuvo 3.006,5 BNB y 231.557 USDT, por un total aproximado de 2,09 millones de dólares. Posteriormente, los BNB fueron transferidos. Otros 4,58 millones de KAVA fueron enviados a cinco direcciones sin etiquetar en la cadena de Kava. De un valor contable de 3,76 millones de dólares, el atacante obtuvo unos 2,09 millones de dólares en efectivo, una tasa de conversión efectiva de alrededor del 56 %. El equipo: no hubo emisión ilimitada; aún no se ha publicado el informe completo Kava no respondió públicamente hasta las 19:28 del sábado, hora de Taiwán, más de siete horas después del inicio del ataque. En ese momento dijo que «estaba rastreando un comportamiento anómalo procedente de una dApp del ecosistema de Kava». Unos treinta minutos después, el equipo añadió que conocía el puente entre cadenas y la venta de KAVA en BSC, y recalcó que «no se trata de una emisión ilimitada; el incidente ha sido aislado y contenido dentro de Kava Lend». A las 9:05 de la mañana, Kava anunció también que, por precaución, había pausado el puente entre cadenas Axelar y que publicaría un informe completo del incidente una vez terminado. Las plataformas de intercambio asociadas suspendieron al mismo tiempo los depósitos y retiros de KAVA. Estamos rastreando un comportamiento inesperado originado en una dApp del ecosistema de Kava. Nuestros equipos están investigando el asunto con máxima prioridad. Esperen pronto una actualización oficial. — Kava (@KAVA_CHAIN) 14 de noviembre de 2026 Al momento de redactar este artículo, Kava no ha publicado una cifra oficial de pérdidas ni un análisis posterior; solo ha calificado el incidente como «un suceso en desarrollo». Un mercado inactivo se convirtió en una puerta lateral sin vigilancia Después de que en 2023 las autoridades reguladoras estadounidenses exigieran al emisor de BUSD que dejara de emitir nuevos tokens, los mercados de BUSD de la mayoría de los protocolos de préstamos se quedaron con fondos existentes que circulaban dentro del sistema. Los depósitos, préstamos y liquidaciones prácticamente se paralizaron. Cuando un mercado deja de registrar operaciones, su oferta neta puede caer a niveles muy bajos, pero el cálculo del tipo de cambio del protocolo no se desactiva automáticamente porque «nadie use este mercado». Kava Lend cayó precisamente en esa grieta: el atacante no tuvo que convencer a nadie ni vulnerar la criptografía. Le bastó con hacer que la oferta neta de un mercado sin vigilancia llegara a cero para decidir por sí mismo cuánto valía la garantía. Incidentes similares se han repetido durante el último año. En agosto de este año, Tectonic, en Cronos, perdió 75 millones de dólares tras la manipulación del precio de su token de gobernanza; en julio, Bonzo Lend, en Hedera, sufrió el robo de 9 millones de dólares mediante una garantía de unos pocos dólares; y a finales de agosto, Balancer V1 reveló una vulnerabilidad de precisión. En todos los casos, el problema estaba en un cálculo cuyo denominador se reducía a una cifra ínfima, no en una filtración de claves privadas. Qué observar a continuación Lo primero que hay que vigilar es la diferencia. Las dos direcciones de destino conocidas suman 53,78 millones de KAVA, pero todavía faltan por explicar unos 1,4 millones de los 55,2 millones retirados. Que el informe oficial del incidente aclare o no esta diferencia determinará la cifra final de pérdidas. Lo segundo es la compensación. Los depositantes de Kava Lend utilizan principalmente stablecoins. Este tipo de protocolos no cuenta con seguro de depósitos, por lo que las pérdidas las asumirán los depositantes o se contabilizarán en la tesorería del protocolo. El equipo aún no ha mencionado ningún plan de indemnización. Lo tercero son los demás mercados inactivos. Además de BUSD, todavía hay varias stablecoins cuya emisión se detuvo hace tiempo, pero que siguen presentes en protocolos de préstamos. Si un pequeño préstamo puede reducir su oferta neta casi a cero de la misma manera, podría producirse otro vaciamiento. Noticias relacionadas 1 satoshi de WBTC vacía todo el fondo de liquidez: vulnerabilidad de precisión en el fondo de Balancer V1 causa pérdidas de 230.000 dólares Term Finance pierde 8,5 millones de dólares por una vulnerabilidad de gobernanza: fallan tanto el período de bloqueo de siete días como el veto de LP ¡Otro problema con un puente entre cadenas! Allbridge Core pierde 1,65 millones de dólares tras un ataque de préstamo flash ... Este artículo, «¡KAVA se desploma un 59 %! Kava Lend sufre un ataque y pierde 3,76 millones de dólares; la garantía se infla 240.000 veces», se publicó originalmente en BlockTempo (el medio de noticias sobre blockchain más influyente).