KAVA anjlok 59%! Kava Lend diretas dan dikuras sebesar US$3,76 juta, agunan membengkak 240 ribu kali

動區 BlockTempo · 2026-11-15T01:54:00.000Z

Protokol pinjaman asli blockchain publik Kava, Kava Lend, dikuras pada Sabtu malam. Dengan pinjaman BUSD bernilai kecil, penyerang melipatgandakan nilai agunan di pasar yang sudah lama tidak aktif hingga 243 ribu kali, lalu meminjam 55,2 juta token KAVA dalam 127 transaksi. Harga token anjlok 59% dalam 24 jam. （Bacaan sebelumnya: Cronos hentikan jaringan darurat! Token tata kelola Tectonic dimanipulasi, harganya didongkrak 100 kali dalam setengah jam untuk menguras aset senilai US$75 juta）（Latar belakang: Bonzo Lend diserang lewat oracle! Agunan senilai beberapa dolar ternyata bisa dipakai meminjam US$9 juta dalam USDC＋HBAR） Protokol pinjaman Kava Lend diserang tadi malam (14). Penyerang terlebih dahulu meminjam sejumlah kecil BUSD, menekan pasokan bersih pasar stablecoin yang sudah lama tidak digunakan hingga hampir nol. Akibatnya, dalam tiga menit protokol mencatat simpanan penyerang dengan nilai yang sangat besar. Setelah itu, penyerang meminjam sekitar 55,2 juta token KAVA dalam 127 transaksi. Dengan harga US$0,068 per token sebelum serangan, nilai tercatat token-token tersebut sekitar US$3,76 juta. Sementara itu, akun modul tempat protokol menyimpan simpanan kolektif anjlok dari 55,33 juta token menjadi hanya 0,19 token dalam satu setengah jam. Harga token ikut merosot. Setelah kabar tersebut beredar, harga KAVA terus turun. Saat artikel ini ditulis, harganya tercatat US$0,0276, turun 59,3% dalam 24 jam, dengan titik terendah 24 jam di US$0,02507. Jika dibandingkan dengan harga US$0,068 sebelum serangan, kerugian di atas kertas yang ditanggung pemegang token dalam insiden ini sudah lebih besar daripada nilai yang dicuri. Pergerakan KAVA/USDT dalam 48 jam terakhir (Sumber data: Binance, grafik dibuat sendiri oleh BlockTempo) Agunan membengkak 240 ribu kali dalam tiga menit Menurut kronologi on-chain, serangan dimulai pada Jumat pukul 23.01 waktu AS. Penyerang terlebih dahulu meminjam sejumlah kecil BUSD sehingga pasokan bersih pasar BUSD Kava Lend turun hingga tinggal “seperlima ratus juta dolar”. Harga tanda terima simpanan Kava Lend dihitung berdasarkan pasokan bersih pasar dan model suku bunga. Begitu penyebut ditekan hingga mendekati nol, dalam tiga menit berikutnya protokol melipatgandakan nilai setiap simpanan BUSD sekitar 243 ribu kali. Alhasil, BUSD yang sebelumnya disimpan penyerang berubah menjadi agunan senilai sekitar 1,25 miliar BUSD. Logika perhitungan bunga dan nilai tukar ini tersedia secara terbuka dalam kode sumber Kava. Siapa pun bisa menghitung terlebih dahulu seberapa rendah pasokan bersih harus ditekan agar nilai tukar menjadi tidak terkendali. Dengan agunan yang nilainya membengkak begitu saja ini, penyerang mengajukan 127 pinjaman KAVA berturut-turut, lalu melunasinya satu per satu menggunakan akun kedua untuk mengakali batas total pinjaman KAVA yang ditetapkan protokol. Jejak on-chain menunjukkan ini bukan tindakan spontan: sejak 8 November, pasar yang sama sudah mengalami siklus simpanan dan pinjaman berulang. Penyerang tampaknya telah melakukan persiapan setidaknya selama sepekan. 49,2 juta token KAVA dipindahkan ke BNB Chain dan dijual habis dalam satu jam Selanjutnya, penyerang menggunakan jembatan lintas rantai LayerZero milik Kava untuk mengirim sekitar 49,2 juta token KAVA ke sebuah alamat di BNB Chain. Hampir seluruhnya dijual dalam waktu satu jam, menghasilkan 3.006,5 BNB dan 231.557 USDT, dengan total sekitar US$2,09 juta. BNB tersebut kemudian dipindahkan. Sekitar 4,58 juta token KAVA lainnya mengalir ke lima alamat tak berlabel di blockchain Kava. Dari nilai tercatat US$3,76 juta, penyerang berhasil menguangkan sekitar US$2,09 juta, sehingga tingkat pencairan aktualnya sekitar 56%. Pihak resmi: Ini bukan pencetakan token tanpa batas, laporan lengkap belum dirilis Kava baru memberikan tanggapan publik pertamanya pada Sabtu pukul 19.28 waktu Taiwan, lebih dari tujuh jam setelah serangan dimulai. Saat itu, mereka mengatakan bahwa “sedang melacak aktivitas tidak biasa yang berasal dari sebuah dApp dalam ekosistem Kava”. Sekitar setengah jam kemudian, tim menambahkan bahwa mereka mengetahui adanya pemindahan lintas rantai KAVA ke BSC dan aksi jualnya. Mereka menegaskan bahwa “ini bukan pencetakan token tanpa batas, insiden ini telah diisolasi dan dibatasi di dalam Kava Lend”. Pada pukul 09.05 pagi, Kava mengumumkan bahwa jembatan lintas rantai Axelar telah dihentikan sementara demi kehati-hatian. Mereka juga menyatakan bahwa laporan lengkap insiden akan diterbitkan setelah selesai. Bursa mitra secara bersamaan menghentikan setoran dan penarikan KAVA. Kami sedang melacak aktivitas tidak biasa yang berasal dari sebuah dApp dalam ekosistem Kava. Tim kami sedang melakukan penyelidikan dengan prioritas tinggi—nantikan pembaruan resmi dalam waktu dekat. — Kava (@KAVA_CHAIN) November 14, 2026 Hingga artikel ini ditulis, Kava belum memberikan angka kerugian resmi maupun menerbitkan analisis pascainsiden. Mereka hanya menyebut insiden ini sebagai “peristiwa yang masih berkembang”. Pasar yang lama tak aktif menjadi pintu samping tanpa penjagaan Setelah penerbit BUSD pada 2023 diminta regulator AS untuk menghentikan penerbitan token baru, pasar BUSD di sebagian besar protokol pinjaman hanya berisi dana lama yang terus berputar di dalamnya. Aktivitas simpanan, pinjaman, dan likuidasi nyaris berhenti. Ketika pasar tidak lagi memiliki transaksi, pasokan bersihnya bisa ditekan hingga sangat rendah. Namun, perhitungan nilai tukar protokol tidak otomatis dinonaktifkan hanya karena “pasar ini tidak digunakan siapa pun”. Kava Lend kali ini tersandung pada celah tersebut: penyerang tidak perlu meyakinkan siapa pun atau membobol kriptografi. Cukup dengan membuat pasokan bersih sebuah pasar yang tak diawasi menjadi nol, mereka bisa menentukan sendiri nilai agunannya. Insiden serupa telah berulang kali terjadi selama setahun terakhir. Tectonic di Cronos kehilangan US$75 juta pada Agustus tahun ini setelah harga token tata kelolanya dimanipulasi; Bonzo Lend di Hedera kehilangan US$9 juta pada Juli setelah penyerang menggunakan agunan senilai beberapa dolar; sementara Balancer V1 mengalami kerentanan presisi pada akhir Agustus. Kesamaan dari insiden-insiden ini adalah adanya tahapan perhitungan yang “penyebutnya ditekan hingga sangat kecil”, bukan kebocoran kunci privat. Hal-hal yang perlu dipantau Selisih jumlah adalah hal pertama yang perlu diperhatikan. Dua tujuan yang diketahui secara publik mencakup total 53,78 juta token, sementara jumlah yang ditarik mencapai 55,2 juta token. Masih ada sekitar 1,4 juta token yang belum dijelaskan. Apakah laporan resmi insiden akan menjelaskan bagian ini akan menentukan angka akhir kerugian. Hal kedua adalah kompensasi. Para penyimpan di Kava Lend sebagian besar menggunakan stablecoin. Protokol semacam ini tidak memiliki asuransi simpanan, sehingga kerugian pada akhirnya ditanggung para penyimpan atau dicatat sebagai kerugian kas protokol. Tim belum menyebutkan rencana kompensasi apa pun. Hal ketiga adalah pasar-pasar lain yang sudah lama tidak aktif. Selain BUSD, masih ada beberapa pasar stablecoin yang sudah lama berhenti menerbitkan token baru, tetapi masih tersedia di protokol pinjaman. Jika pasokan bersihnya juga dapat ditekan hingga mendekati nol dengan satu pinjaman kecil, insiden pengurasan berikutnya mungkin akan terjadi. Berita terkait 1 satoshi WBTC ditukar hingga menguras seluruh aset dalam pool! Pool likuiditas Balancer V1 mengalami kerentanan presisi, rugi US$230 ribu Term Finance kehilangan US$8,5 juta akibat kerentanan tata kelola: masa penguncian tujuh hari dan hak veto LP sama-sama gagal Jembatan lintas rantai kembali bermasalah! Allbridge Core diserang lewat pinjaman kilat, rugi US$1,65 juta ..."KAVA anjlok 59%! Kava Lend diretas dan dikuras sebesar US$3,76 juta, agunan membengkak 240 ribu kali" Artikel ini pertama kali diterbitkan di BlockTempo (BlockTempo—media berita blockchain paling berpengaruh).

Kava 公鏈原生借貸協議 Kava Lend 在週六夜被掏空，攻擊者用一筆小額 BUSD 借款把沉睡市場的抵押品價值放大 24.3 萬倍，再分 127 次借走 5,520 萬枚 KAVA，代幣 24 小時崩跌 59%。 （前情提要：Cronos 緊急停網！Tectonic 治理代幣遭操縱，半小時拉高百倍搬空 7,500 萬美元） （背景補充：Bonzo Lend 遭預言機攻擊！幾美元抵押品竟借走 900 萬美元 USDC＋HBAR）   借貸協議 Kava Lend 昨（14）晚遭到攻擊，攻擊者先借出一筆極小的 BUSD，把早已停用的穩定幣市場淨供給壓到趨近於零，讓自己的存款在三分鐘內被協議認列成天文數字，再分 127 次借走約 5,520 萬枚 KAVA。 以攻擊前每枚 0.068 美元計算，這批代幣帳面價值約 376 萬美元，而協議存放集體存款的模組帳戶，在一個半小時內從 5,533 萬枚掉到只剩 0.19 枚。 代幣價格同步崩落。KAVA 在訊息傳出後一路下探，撰稿當下報 0.0276 美元，24 小時跌幅 59.3%，24 小時低點見到 0.02507 美元。對照攻擊前的 0.068 美元，持幣者在這場事故裡承受的帳面損失，已經比被盜走的金額還大。 KAVA/USDT 近 48 小時走勢（資料來源：Binance，動區自繪） 三分鐘把抵押品吹大 24 萬倍 根據鏈上時序，攻擊在美國時間週五 23:01 展開。攻擊者先借出一筆極小的 BUSD，讓 Kava Lend 的 BUSD 市場淨供給降到只剩「一美元的兩億分之一」。 Kava Lend 的存款憑證價格依市場淨供給與利率模型推算，分母一旦被壓到趨近於零，協議在接下來三分鐘內就把每一筆 BUSD 存款的價值放大了約 24.3 萬倍，攻擊者事前存入的 BUSD 於是變成約 12.5 億枚 BUSD 的抵押品。 這套利息與兌換率計算邏輯公開在 Kava 的開源程式碼裡，任何人都能先算出淨供給被壓到多低時兌換率會失控。有了這批憑空放大的抵押品，攻擊者連續發起 127 筆 KAVA 借款，再用第二個帳號逐筆清償，藉此繞過協議對 KAVA 借款總量的上限。 從鏈上足跡看，這不是臨時起意：11 月 8 日起同一市場就出現反覆的存入與借款迴圈，攻擊者至少準備了一週。 4,920 萬枚 KAVA 跨到 BNB Chain 一小時出清 接下來，攻擊者透過 Kava 的 LayerZero 跨鏈橋，把約 4,920 萬枚 KAVA 送到 BNB Chain 上的一個地址，並在一小時內幾乎全數出清，換得 3,006.5 枚 BNB 與 231,557 枚 USDT，合計約 209 萬美元，BNB 隨後已被轉走。 另有約 458 萬枚 KAVA 流向 Kava 鏈上五個未標記地址。以帳面 376 萬美元換回約 209 萬美元現金，實際變現率約 56%。 官方：不是無限增發，完整報告還沒來 Kava 直到台灣時間週六晚上 7:28 才首次公開回應，距離攻擊開始已超過七個小時，當時的說法是「正在追蹤來自 Kava 生態內某個 dApp 的異常行為」。 約半小時後，團隊補充說明已知悉 KAVA 在 BSC 上的跨鏈與拋售，並強調「這不是無限增發，事件被隔離並限制在 Kava Lend 之內」。上午 9:05，Kava 再宣布基於審慎已暫停 Axelar 跨鏈橋，也表示完整事故報告會在完成後公布；合作交易所同步暫停 KAVA 出入金。 We are tracking unexpected behavior originating from a dApp within the Kava ecosystem. Our teams are investigating with high priority – stand by for an official update shortly. — Kava (@KAVA_CHAIN) November 14, 2026 截至發稿，Kava 沒有給出官方損失數字，也還沒發布事後分析，只把這起事故定調為「發展中的事件」。 沉睡市場成了沒人看守的側門 BUSD 發行方在 2023 年遭美國監管機構要求停止增發之後，多數借貸協議的 BUSD 市場就只剩存量資金在裡面打轉，存款、借款、清算幾乎停擺。 市場一旦沒有交易，淨供給就會被壓到極低，而協議的兌換率計算不會因為「這個市場沒人用」自動停權。Kava Lend 這次踩到的正是這條裂縫：攻擊者不必說服任何人、不必突破密碼學，只要讓一個沒人盯的市場淨供給歸零，就能自己決定抵押品值多少錢。 同類事故在過去一年反覆上演。Cronos 上的 Tectonic 今年 8 月被用治理代幣價格操縱搬走 7,500 萬美元；Hedera 上的 Bonzo Lend 7 月被幾美元的抵押品借走 900 萬美元；Balancer V1 則在 8 月底爆出精度漏洞。共同點是「分母被壓到極小」的計算環節，而不是私鑰外洩。 後續觀察 第一個要盯的是差額。目前公開的兩個去向合計 5,378 萬枚，與被領出的 5,520 萬枚之間還有約 140 萬枚沒有交代，官方事故報告是否補上這一段，會決定損失數字最後落在哪裡。 第二個是補償。Kava Lend 的存款人以穩定幣為主，這類協議沒有存款保險，損失最終由存款人吸收或由協議財庫認列，團隊目前沒有提到任何賠付安排。 第三個是其他沉睡市場。BUSD 之外，還有幾種早已停止增發、卻仍留在借貸協議裡的穩定幣市場；若同樣的淨供給可以被單筆小額借款壓到接近零，下一個被搬空的事件可能還會發生。 相關報導 1 聰 WBTC 換走整池資產！Balancer V1 資金池爆精度漏洞，損失 23 萬美元 Term Finance 遭治理漏洞竊走 850 萬美元：七天鎖定期與 LP 否決齊失守 跨鏈橋再出事！Allbridge Core 遭閃電貸攻擊失血 165 萬美元 ...〈KAVA 慘崩 59%！Kava Lend 遇駭掏空 376 萬美元，抵押品膨脹 24 萬倍〉這篇文章最早發佈於動區BlockTempo《動區動趨-最具影響力的區塊鏈新聞媒體》。