Yusuf Iskandar: escritor de la red Al Jazeera, Independent Arabia y la plataforma Binance
El 14 de noviembre de 2026, la criptomoneda KAVA sufrió una caída abrupta y sin precedentes en un breve periodo. El precio cayó desde niveles cercanos a los 0,068 dólares hasta mínimos históricos de entre 0,025 y 0,036 dólares, con pérdidas superiores al 40 % en apenas unas horas y que, en algunas plataformas, superaron el 55-60 % en 24 horas. La causa no fue una corrección técnica ni una ola generalizada de ventas en el mercado, sino un ataque de explotación (Exploit) dirigido contra el principal protocolo de préstamos de la red: Kava Lend.
Antecedentes del incidente
Kava es una cadena de bloques de capa 1 centrada en las finanzas descentralizadas (DeFi) que conecta los ecosistemas de Cosmos y Ethereum. Kava Lend es su protocolo nativo de préstamos y créditos, donde los usuarios depositan activos y piden préstamos con ellos como garantía.
Durante los días previos al ataque, el precio de KAVA se mantuvo relativamente estable, en torno a los 0,067–0,069 dólares. Luego, los movimientos anormales comenzaron a última hora del viernes 13 de noviembre y se prolongaron hasta la mañana del sábado 14 de noviembre.
¿Cómo se llevó a cabo el ataque?
El atacante aprovechó una vulnerabilidad en el mercado inactivo de BUSD dentro de Kava Lend. Este mercado llevaba mucho tiempo prácticamente paralizado (desde aproximadamente 2023) y tenía muy poca liquidez.
Los pasos principales, según los análisis en cadena (de fuentes como The Block y Bitquery):
Manipulación del indicador de intereses: el atacante redujo la oferta neta (net supply) en el mercado de BUSD hasta un nivel ínfimo, cercano a cero. Esto provocó un error de cálculo en el mecanismo para calcular los intereses (una división por un número muy cercano a cero), lo que multiplicó el valor de los depósitos en ese mercado unas 243.000 veces en tan solo unos minutos.
Préstamos repetidos: el atacante utilizó las garantías infladas para pedir prestadas grandes cantidades de KAVA. Ejecutó unas 127 operaciones de préstamo consecutivas. Para eludir los límites de préstamo establecidos por el protocolo, utilizó una cuenta auxiliar que liquidaba cada préstamo en cuanto se producía, lo que permitía solicitar nuevos préstamos.
Retirada de activos: el atacante terminó pidiendo prestados unos 55,2 millones de tokens KAVA, que antes del ataque valían alrededor de 3,76 millones de dólares. El saldo de la cuenta del protocolo cayó de unos 55,3 millones de KAVA a prácticamente menos de un token.
Transferencia y venta: el atacante transfirió unos 49,2 millones de KAVA a través del puente LayerZero a la red BNB Chain. Allí vendió rápidamente la mayor parte de la cantidad en un mercado con poca liquidez, a cambio de unos 2,1 millones de dólares (una combinación de BNB y USDT). Esta venta masiva en un breve periodo fue lo que desencadenó el desplome del precio.
El equipo de Kava confirmó oficialmente que el incidente no fue una acuñación infinita (es decir, no se crearon nuevos tokens de la nada) y que los daños se limitaron al protocolo Kava Lend, sin afectar a la propia red principal.
Reacciones y consecuencias
Grandes exchanges coreanos como Upbit, Bithumb y Coinone suspendieron los depósitos y retiros de KAVA como medida de precaución.
Kava pausó temporalmente el puente Axelar.
El incidente provocó una gran pérdida de confianza en el protocolo de préstamos, ya que los prestamistas se enfrentan a una grave falta de liquidez (el protocolo debe unos 55 millones de KAVA, mientras que lo que queda en el fondo es prácticamente nulo).
Después del desplome
Tras el desplome, el precio experimentó breves rebotes técnicos, algo habitual después de este tipo de incidentes debido al cierre de posiciones cortas o a la entrada de especuladores. Sin embargo, el daño fundamental persiste: una vulnerabilidad de seguridad en un protocolo importante, pérdidas de liquidez para los prestamistas y un impacto negativo en la reputación del ecosistema.
Este ataque es un ejemplo clásico de explotación de mercados inactivos y vulnerabilidades de cálculo en protocolos de préstamos descentralizados. Pone de manifiesto la importancia de revisar el código de forma continua, sobre todo las partes antiguas o poco utilizadas.
El equipo todavía está investigando el incidente y se espera que publique más adelante un informe técnico más detallado.