Le protocole de prêt natif de la blockchain Kava, Kava Lend, a été vidé de ses fonds dans la nuit de samedi. À l’aide d’un petit emprunt de BUSD, l’attaquant a multiplié par 243 000 la valeur des garanties d’un marché inactif, puis a emprunté 55,2 millions de KAVA en 127 opérations. Le jeton a chuté de 59 % en 24 heures. (À lire aussi : Cronos suspend d’urgence son réseau ! Le jeton de gouvernance de Tectonic manipulé : son cours multiplié par 100 en une demi-heure avant le siphonnage de 75 millions de dollars) (Contexte : Bonzo Lend victime d’une attaque par oracle ! Quelques dollars de garantie ont permis d’emprunter 9 millions de dollars en USDC et HBAR)   Le protocole de prêt Kava Lend a été attaqué hier soir (le 14). L’attaquant a d’abord contracté un emprunt minime en BUSD, faisant tomber l’offre nette du marché de stablecoins, depuis longtemps inactif, presque à zéro. En trois minutes, le protocole a alors évalué son dépôt à un montant astronomique, après quoi l’attaquant a emprunté environ 55,2 millions de KAVA en 127 opérations. Au cours d’avant l’attaque, soit 0,068 dollar par jeton, ces KAVA représentaient environ 3,76 millions de dollars sur le papier. Or, le compte du module où le protocole conserve les dépôts collectifs est passé de 55,33 millions de KAVA à seulement 0,19 jeton en une heure et demie. Le cours du jeton s’est effondré dans la foulée. Après l’annonce de l’incident, le KAVA n’a cessé de baisser et s’échangeait à 0,0276 dollar au moment de la rédaction, soit une chute de 59,3 % en 24 heures. Son plus bas sur 24 heures a atteint 0,02507 dollar. Par rapport aux 0,068 dollar d’avant l’attaque, les pertes comptables subies par les détenteurs dans cet incident dépassent déjà le montant dérobé. Évolution du KAVA/USDT au cours des dernières 48 heures (source : Binance, graphique réalisé par BlockTempo) Trois minutes pour gonfler la valeur des garanties de 240 000 fois Selon la chronologie on-chain, l’attaque a débuté vendredi à 23 h 01, heure des États-Unis. L’attaquant a d’abord contracté un emprunt minime en BUSD, faisant tomber l’offre nette du marché BUSD de Kava Lend à seulement « un deux-cent-millionième de dollar ». Le prix des reçus de dépôt de Kava Lend est calculé à partir de l’offre nette du marché et du modèle de taux d’intérêt. Dès lors que le dénominateur a été ramené presque à zéro, le protocole a multiplié par environ 243 000 la valeur de chaque dépôt en BUSD au cours des trois minutes suivantes. Les BUSD déposés au préalable par l’attaquant sont ainsi devenus environ 1,25 milliard de BUSD de garanties. Cette logique de calcul des intérêts et du taux de conversion est publiée dans le code open source de Kava. N’importe qui peut donc déterminer à l’avance à quel niveau l’offre nette doit être abaissée pour que le taux de conversion s’emballe. Fort de ces garanties artificiellement gonflées, l’attaquant a lancé 127 emprunts de KAVA à la suite, puis les a remboursés un par un à l’aide d’un deuxième compte, contournant ainsi la limite imposée par le protocole au volume total d’emprunts en KAVA. Les traces on-chain montrent qu’il ne s’agissait pas d’une attaque improvisée : à partir du 8 novembre, le même marché a été le théâtre de cycles répétés de dépôts et d’emprunts. L’attaquant s’y préparait depuis au moins une semaine. 49,2 millions de KAVA transférés vers BNB Chain et liquidés en une heure L’attaquant a ensuite utilisé le pont cross-chain LayerZero de Kava pour transférer environ 49,2 millions de KAVA vers une adresse sur BNB Chain, puis en a liquidé presque la totalité en une heure. Il a obtenu 3 006,5 BNB et 231 557 USDT, soit environ 2,09 millions de dollars au total. Les BNB ont ensuite été transférés. Environ 4,58 millions de KAVA supplémentaires ont été envoyés vers cinq adresses non identifiées sur la chaîne Kava. Pour une valeur comptable de 3,76 millions de dollars, l’attaquant n’a récupéré qu’environ 2,09 millions de dollars en espèces, soit un taux de réalisation d’environ 56 %. Officiel : il ne s’agit pas d’une émission illimitée, le rapport complet n’est pas encore disponible Kava n’a réagi publiquement pour la première fois qu’à 19 h 28, samedi soir, heure de Taïwan, plus de sept heures après le début de l’attaque. Le projet a alors déclaré « suivre un comportement anormal provenant d’une dApp de l’écosystème Kava ». Environ une demi-heure plus tard, l’équipe a précisé qu’elle avait connaissance du transfert cross-chain et de la vente de KAVA sur BSC, en soulignant que « ce n’est pas une émission illimitée ; l’incident a été isolé et limité à Kava Lend ». À 9 h 05, Kava a annoncé avoir suspendu par précaution le pont cross-chain Axelar et a indiqué que le rapport complet sur l’incident serait publié une fois achevé. Les plateformes d’échange partenaires ont également suspendu les dépôts et les retraits de KAVA. « Nous suivons un comportement inattendu provenant d’une dApp de l’écosystème Kava. Nos équipes enquêtent en priorité ; restez à l’écoute, une annonce officielle suivra sous peu. » — Kava (@KAVA_CHAIN) 14 novembre 2026 À l’heure de la rédaction, Kava n’a communiqué aucun chiffre officiel sur les pertes et n’a pas encore publié d’analyse post-incident. Le projet qualifie simplement l’affaire d’« incident en cours ». Un marché inactif est devenu une porte dérobée sans surveillance Après que les autorités réglementaires américaines ont ordonné à l’émetteur de BUSD de cesser toute nouvelle émission en 2023, les marchés BUSD de la plupart des protocoles de prêt n’ont plus été alimentés que par des fonds existants, qui y tournaient en rond. Les dépôts, les emprunts et les liquidations ont presque cessé. Lorsqu’un marché ne connaît plus d’activité, son offre nette peut tomber à un niveau extrêmement bas, mais le calcul du taux de conversion du protocole ne se désactive pas automatiquement au motif que « personne n’utilise ce marché ». C’est précisément cette faille qu’a exploitée l’attaque contre Kava Lend : l’attaquant n’a eu besoin de convaincre personne ni de casser la cryptographie. Il lui a suffi de ramener à zéro l’offre nette d’un marché laissé sans surveillance pour décider lui-même de la valeur des garanties. Des incidents similaires se sont répétés au cours de l’année écoulée. En août, Tectonic sur Cronos a été exploité au moyen d’une manipulation du cours de son jeton de gouvernance, entraînant le vol de 75 millions de dollars. En juillet, Bonzo Lend sur Hedera s’est fait emprunter 9 millions de dollars contre quelques dollars de garanties. Et fin août, une faille de précision a été découverte dans Balancer V1. Le point commun : un mécanisme de calcul où « le dénominateur est ramené à une valeur minuscule », et non une fuite de clés privées. Points à suivre Le premier point à surveiller concerne l’écart. Les deux destinations rendues publiques totalisent 53,78 millions de KAVA, soit environ 1,4 million de moins que les 55,2 millions retirés. Le rapport officiel sur l’incident permettra de savoir si cette partie manquante sera expliquée et où se situera finalement le montant des pertes. Le deuxième concerne les indemnisations. Les déposants de Kava Lend détiennent principalement des stablecoins. Ce type de protocole ne dispose pas d’assurance-dépôts ; les pertes sont donc, en définitive, supportées par les déposants ou comptabilisées par la trésorerie du protocole. L’équipe n’a pour l’instant évoqué aucun dispositif d’indemnisation. Le troisième point concerne les autres marchés inactifs. En dehors de BUSD, plusieurs stablecoins dont l’émission a cessé depuis longtemps sont encore présents sur des protocoles de prêt. Si un petit emprunt ponctuel peut, de la même façon, faire tomber leur offre nette presque à zéro, un autre marché pourrait encore être vidé de ses fonds. Articles associés 1 satoshi de WBTC suffit à vider tout un pool ! Une faille de précision dans les pools de Balancer V1 entraîne 230 000 dollars de pertes Term Finance victime d’une faille de gouvernance : 8,5 millions de dollars dérobés, la période de blocage de sept jours et le veto des LP mis en échec Un nouveau problème pour un pont cross-chain ! Allbridge Core perd 1,65 million de dollars dans une attaque par prêt éclair ... Cet article, « Le KAVA s’effondre de 59 % ! Kava Lend piraté et vidé de 3,76 millions de dollars, la valeur des garanties gonflée de 240 000 fois », a d’abord été publié sur BlockTempo (動區動趨, le média d’actualité blockchain le plus influent).