Kava 鏈上的原生借貸協議 Kava Lend 在 11/14 遭到攻擊。據 The Block 的鏈上分析，攻擊者幾乎把協議裡的 KAVA 全部借走，約 5,520 萬枚，以攻擊前約 0.068 美元計算約 376 萬美元。$KAVA 在幣安現貨 24 小時跌約 58%，從約 0.068 美元跌到約 0.028 美元（台北時間 11/15 約 16:00），日內最低約 0.025 美元。
一、攻擊怎麼發生？（據 The Block、0xCERT、Bitquery）
漏洞出在 Kava Lend 的 BUSD 市場。BUSD 是 Paxos 在 2023 年停止鑄造的幣安品牌穩定幣，這個市場幾乎沒人用。
攻擊者先存入 BUSD，再用一筆小額 BUSD 借款，把市場淨供給壓到約 0.00000002 美元。程式碼只在供給「剛好等於 0」時跳過除法，卻沒處理「極小但大於 0」的情況。
三分鐘內，每筆 BUSD 存款的價值被放大約 24.3 萬倍，攻擊者的存款被算成約 12.5 億 BUSD 的抵押品。
攻擊者對這筆「虛胖」的抵押品借出 KAVA 共 127 次，並用第二個帳戶清掉每筆借款，繞過 KAVA 的借款上限。協議模組帳戶在約一個半小時內從約 5,533 萬枚 KAVA 剩下約 0.19 枚。
The Block 指出，攻擊者從 11/8 起就在這個 BUSD 市場反覆測試存借流程，至少準備了一週。
二、贓款流向
• 約 4,920 萬枚 KAVA 透過 Kava 的 LayerZero 跨鏈橋轉到 BNB Chain，一小時內賣出換成 3,006.5 枚 BNB 與 231,557 USDT，合計約 209 萬美元；另約 458 萬枚轉到 Kava 上的 5 個未標記地址（The Block）。
• DefiLlama（經 0xCERT 引用）顯示約 612,416 USDT 在 Relay 跨鏈橋被攔下。Bitquery 則追蹤到大部分資金後來轉到 Hyperliquid。
• 各來源的數字略有出入，Kava 官方目前還沒公布正式損失金額與事後檢討報告。
三、官方與交易所的處理
• Kava 表示這「不是無限增發」，事件「僅限於 Kava Lend」。
• Kava 暫停了 Axelar 跨鏈橋提款，合作交易所暫停 KAVA 充提，據 0xCERT 有三家韓國交易所暫停 KAVA 轉帳。
四、值得記住的教訓
• 「沒人用的舊市場」也是攻擊面：協議下架或停用資產時，若市場只是閒置而沒有真正關閉，殘留的計算邏輯仍可能被利用。
• 邊界條件：只檢查「等於 0」卻沒處理「趨近 0」，是 DeFi 借貸協議常見的精度風險。
• 持有相關代幣的人，請以 Kava 官方公告為準，留意交易所充提狀態，並小心假冒「補償申領」的釣魚連結。
資料來源：
• The Block：Kava Lend loses roughly $3.8 million to hack, sending KAVA token down nearly 40%（2026/11/14）
• 0xCERT 安全公告 0xCERT-2026-0352
• Bitquery：Kava Hack: 55.2M Coins Drained, $612K Blocked at Relay
• TokenPost：Attackers Borrow 55.2 Million KAVA in Kava Lend Exploit
• Kava 官方 X 聲明（經 Tree News 轉載）
• 幣安現貨行情 API（KAVAUSDT 24h、日K）
#Kava #KavaLend #DeFi #資安 #駭客
⚠️ 本文僅為資訊分享，非投資建議（NFA）。加密貨幣波動劇烈，請自行研究（DYOR）並注意風險。