Kava Lend, le protocole de prêt natif de la blockchain Kava, a été attaqué le 14/11. Selon l’analyse on-chain de The Block, l’attaquant a emprunté presque tous les KAVA du protocole, soit environ 55,2 millions, d’une valeur d’environ 3,76 millions de dollars au cours d’environ 0,068 dollar avant l’attaque.$KAVA Sur le marché au comptant de Binance, le KAVA a chuté d’environ 58 % en 24 heures, passant d’environ 0,068 dollar à environ 0,028 dollar (le 15/11 vers 16 h, heure de Taipei), avec un plus bas intrajournalier d’environ 0,025 dollar.
I. Comment l’attaque s’est-elle déroulée ? (Selon The Block, 0xCERT et Bitquery)
La faille se trouvait sur le marché BUSD de Kava Lend. BUSD est un stablecoin de marque Binance dont Paxos a cessé la création en 2023 ; ce marché était presque inutilisé.
L’attaquant a d’abord déposé des BUSD, puis emprunté une petite somme en BUSD, ramenant l’offre nette du marché à environ 0,00000002 dollar. Le code ne sautait la division que lorsque l’offre était « exactement égale à 0 », sans gérer le cas où elle était « extrêmement faible, mais supérieure à 0 ».
En trois minutes, la valeur de chaque dépôt en BUSD a été multipliée par environ 243 000 ; le dépôt de l’attaquant a été comptabilisé comme environ 1,25 milliard de BUSD de garantie.
L’attaquant a emprunté des KAVA en s’appuyant sur cette garantie « artificiellement gonflée », en 127 opérations au total, puis a soldé chaque emprunt depuis un deuxième compte, contournant ainsi la limite d’emprunt en KAVA. En environ une heure et demie, le solde du compte du module du protocole est passé d’environ 55,33 millions de KAVA à environ 0,19 KAVA.
The Block indique que l’attaquant testait à plusieurs reprises les opérations de dépôt et d’emprunt sur ce marché BUSD depuis le 8/11, et qu’il s’y préparait depuis au moins une semaine.
II. Destination des fonds volés
• Environ 49,2 millions de KAVA ont été transférés vers BNB Chain via le pont cross-chain LayerZero de Kava, puis vendus en une heure contre 3 006,5 BNB et 231 557 USDT, soit environ 2,09 millions de dollars au total ; environ 4,58 millions de KAVA supplémentaires ont été transférés vers cinq adresses non étiquetées sur Kava (The Block).
• DefiLlama (cité par 0xCERT) indique qu’environ 612 416 USDT ont été interceptés sur le pont cross-chain Relay. Bitquery a quant à lui suivi la majeure partie des fonds, qui ont ensuite été transférés vers Hyperliquid.
• Les chiffres varient légèrement selon les sources. Kava n’a pas encore publié de montant officiel des pertes ni de rapport d’analyse post-incident.
III. Réponse des équipes officielles et des plateformes d’échange
• Kava a déclaré qu’il ne s’agissait « pas d’une émission illimitée » et que l’incident était « limité à Kava Lend ».
• Kava a suspendu les retraits via le pont cross-chain Axelar ; les plateformes d’échange partenaires ont suspendu les dépôts et retraits de KAVA. Selon 0xCERT, trois plateformes sud-coréennes ont suspendu les transferts de KAVA.
IV. Leçons à retenir
• Un « ancien marché inutilisé » constitue lui aussi une surface d’attaque : lorsqu’un protocole retire un actif ou cesse de le prendre en charge, une logique de calcul résiduelle peut toujours être exploitée si le marché reste inactif au lieu d’être réellement fermé.
• Conditions limites : vérifier uniquement si une valeur est « égale à 0 » sans gérer le cas où elle « tend vers 0 » est un risque de précision courant dans les protocoles de prêt DeFi.
• Si vous détenez les jetons concernés, fiez-vous aux annonces officielles de Kava, surveillez le statut des dépôts et retraits sur les plateformes d’échange et méfiez-vous des liens d’hameçonnage se faisant passer pour des demandes de « réclamation d’indemnisation ».
Sources :
• The Block : Kava Lend perd environ 3,8 millions de dollars dans un piratage, faisant chuter le jeton KAVA de près de 40 % (14/11/2026)
• Avis de sécurité 0xCERT 0xCERT-2026-0352
• Bitquery : Piratage de Kava : 55,2 millions de jetons détournés, 612 000 $ bloqués sur Relay
• TokenPost : Des attaquants empruntent 55,2 millions de KAVA lors de l’exploitation de Kava Lend
• Déclaration officielle de Kava sur X (reprise par Tree News)
• API des cours au comptant de Binance (KAVAUSDT sur 24 h et bougies journalières)
#Kava #KavaLend #DeFi #Cybersécurité #駭客
⚠️ Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil en investissement (NFA). Les cryptomonnaies sont très volatiles ; faites vos propres recherches (DYOR) et soyez conscient des risques.