55,2 juta koin, 127 transaksi, 243 ribu kali lipat: Kava Lend dikuras habis dalam semalam, KAVA turun 55,8% dalam sehari, dan sampai sekarang pihak resmi belum menjelaskan apa yang akan terjadi pada deposan.
Singkatnya, inilah yang terjadi: Kava Lend, protokol pinjaman bawaan di blockchain Kava, dieksploitasi pada dini hari 14 November melalui pasar BUSD yang hampir tidak digunakan siapa pun. Sebanyak 55,2 juta KAVA di dalam pool dipinjam habis. Hampir 49,2 juta koin dipindahkan ke BNB Chain dan dijual habis dalam satu jam. Harga KAVA turun dari US$0,068 menjadi US$0,03 dalam sehari. Pihak resmi mengeluarkan tiga pernyataan berturut-turut, dengan dua pesan utama: tidak ada pencetakan koin tanpa batas, dan insiden hanya terjadi di Kava Lend. Namun, pihak resmi belum mengungkap angka kerugian, akar masalah, ataupun cara deposan akan mendapat kompensasi.
Apa yang berubah: tiga pernyataan resmi dan rekonstruksi on-chain, semuanya ditinjau bersama
Mari lihat pernyataan resmi (akun X resmi Kava @KAVA_CHAIN, 14 November 2026, tiga pernyataan, semuanya waktu Beijing):
19:28, pernyataan pertama: sedang melacak aktivitas tidak wajar pada sebuah dApp di ekosistem, dan tim memprioritaskan penyelidikan. Perhatikan waktunya—serangan sudah berlangsung lebih dari 7 jam, sementara bursa Upbit menghentikan deposit dan penarikan lebih dari satu jam sebelum pihak resmi.
20:01, pernyataan kedua: pihak resmi mengetahui adanya perpindahan lintas rantai dan penjualan KAVA di BSC; «ini bukan pencetakan koin tanpa batas, insiden telah diisolasi dan dibatasi di Kava Lend»; bursa mitra telah menghentikan deposit dan penarikan sebagai langkah pencegahan.
22:05, pernyataan ketiga: penarikan melalui jembatan lintas rantai Axelar dihentikan sementara sebagai langkah kehati-hatian, dan laporan lengkap insiden akan diterbitkan kemudian. Perhatikan satu detail: koin curian dipindahkan melalui jembatan LayerZero, bukan Axelar. Axelar dihentikan untuk mencegah serangan gelombang kedua.
Hingga siang ini (15 November), pernyataan keempat dan laporan insiden masih belum terbit. Pihak resmi hingga kini tidak menggunakan istilah «diretas»; insiden ini masih disebut «aktivitas tidak wajar». Angka kerugian resmi dan akar masalah juga belum disampaikan.
Sekarang, mari lihat apa yang sebenarnya terjadi di blockchain (pelacakan on-chain oleh The Block dan Bitquery, dikonfirmasi silang oleh beberapa media):
Sejak 8 November, penyerang mulai berulang kali menguji pasar BUSD ini dan melakukan persiapan selama beberapa hari.
Pada 14 November pukul 12:01 (waktu Beijing), penyerang lebih dulu meminjam sedikit BUSD untuk menekan pasokan bersih di pasar yang lama tak aktif ini hingga tersisa hanya 2 unit dasar, yaitu US$0,00000002. Kode Kava Lend hanya mencegah kondisi ketika pasokan bersih «tepat sama dengan nol», tetapi tidak mencegahnya jika «mendekati nol». Akibatnya, dalam tiga menit, indeks bunga simpanan pasar ini membengkak sekitar 243 ribu kali lipat. Di mata protokol, simpanan BUSD milik penyerang pun berubah menjadi angka astronomis.
Selama sekitar satu setengah jam berikutnya, penyerang menggunakan agunan yang nilainya membengkak secara artifisial ini untuk meminjam sekitar 55,2 juta KAVA dalam 127 transaksi. Setiap kali meminjam, ia menggunakan akun kedua untuk melikuidasi pinjaman, sehingga batas pinjaman per akun dapat diakali. Jumlah KAVA di pool turun dari 55,33 juta menjadi hanya 0,19 koin—praktis terkuras habis.
Pada 14 November pukul 17:59, sekitar 49,2 juta KAVA dipindahkan ke BNB Chain melalui LayerZero dan hampir seluruhnya terjual dalam satu jam. Hasilnya, penyerang memperoleh 3.006,5 BNB dan 231.557 USDT, dengan total sekitar US$2,09 juta. Berdasarkan harga sebelum serangan, yaitu US$0,068, nilai koin yang dipinjam mencapai sekitar US$3,76 juta. Pelacakan on-chain juga menunjukkan bahwa sekitar US$1,17 juta hasil curian kemudian ditukar menjadi Monero, sementara 612.000 USDT lainnya ditandai dan diblokir melalui jembatan lintas rantai, tetapi pengirim dapat menariknya kembali—jadi jumlah itu tidak dihitung sebagai dana yang berhasil dipulihkan.
Mengapa pasar BUSD ini menjadi titik lemah: Paxos sudah berhenti menerbitkan BUSD sejak 2023. Pasar ini pada dasarnya tidak aktif di Kava Lend—tak diperhatikan dan tak digunakan siapa pun. Justru sudut seperti inilah yang paling rawan masalah.
Siapa yang terdampak: empat kelompok dengan kondisi berbeda
Kelompok pertama, deposan Kava Lend, paling terdampak: pool berutang sekitar 55,2 juta KAVA kepada para pemberi pinjaman, tetapi saldo di dalamnya hanya tersisa 0,19 koin. Sebesar itulah kekurangan likuiditasnya. Sampai sekarang, Kava belum menjelaskan apakah deposan akan mendapat kompensasi, bagaimana caranya, ataupun dari mana dananya. Data DefiLlama: total aset terkunci di Kava Lend turun dari US$7,418 juta pada 13 November menjadi US$5,549 juta terakhir, dan pool masih terus menyusut.
Kelompok kedua, semua pemegang KAVA: harga koin turun lebih dari separuh dalam sehari. KAVA/USDT di Binance, cuplikan Finnhub (hari ini pukul 13:28 waktu Beijing): US$0,03027, turun 55,8% dari penutupan sebelumnya di US$0,06849, dengan titik terendah intraday US$0,02507; harga penutupan 14 November adalah US$0,03816. Berdasarkan perhitungan yang sama, CoinGlass menunjukkan penurunan sekitar 60,9% dalam 24 jam. Data harga HTX menunjukkan harga koin turun sekitar 42% hanya dalam satu jam setelah kabar tersebut muncul.
Kelompok ketiga, mereka yang menyimpan KAVA di bursa Korea Selatan: Upbit menjadi yang pertama menghentikan deposit dan penarikan KAVA pada 14 November pukul 18:36 (waktu Beijing), dengan mengacu pada aturan pelaksanaan Undang-Undang Perlindungan Pengguna Aset Virtual, lalu menambahkan peringatan risiko perdagangan. Bithumb dan Coinone juga menghentikan transfer KAVA. Untuk sementara, koin yang tersimpan di sana tidak bisa dipindahkan.
Kelompok keempat, mereka yang ingin memindahkan aset ke Kava melalui jembatan Axelar: jembatan tersebut telah dihentikan. Jangan kirim aset ke sana lagi karena aset yang dikirim bisa tersangkut di tengah jalan.
Waktu dan hal yang perlu diperhatikan: tiga hal sudah terlaksana, dua belum
Sudah terlaksana: ① pihak resmi menyangkal adanya pencetakan koin tanpa batas dan menyatakan insiden hanya terjadi di Kava Lend (14 November pukul 20:01); ② Upbit, Bithumb, dan Coinone menghentikan deposit dan penarikan KAVA; ③ jembatan Axelar menghentikan penarikan (pukul 22:05).
Belum terlaksana: ① laporan lengkap insiden, tanpa jadwal penerbitan; ② skema kompensasi deposan, belum disebutkan sedikit pun.
Catatan penting: angka kerugian US$3,76 juta merupakan perkiraan The Block dan Bitquery berdasarkan harga sebelum serangan, bukan angka resmi. Jangan mengutipnya sebagai angka resmi. Demikian pula, angka 243 ribu kali lipat, 127 transaksi, dan 55,2 juta koin berasal dari pelacakan on-chain. Pihak resmi hanya membenarkan fakta «perpindahan lintas rantai dan penjualan».
5 hal yang perlu dilakukan pembaca sekarang
1. Jika kamu memiliki simpanan atau pinjaman di Kava Lend: periksa status posisi kamu terlebih dahulu dan ambil tangkapan layar sebagai bukti. Pool sudah kosong; jangan simpan aset baru di sana. Terkait apakah dan kapan penarikan bisa dilakukan, tunggu laporan resmi insiden. Jangan percaya klaim di grup tentang «jalur internal» atau «pendaftaran kompensasi lebih awal».
2. Jika kamu memiliki KAVA: periksa pengumuman dari bursa tempatmu bertransaksi. Tiga bursa Korea Selatan sudah menghentikan deposit dan penarikan, sedangkan bursa lain belum mengambil langkah seragam. Jangan berulang kali mencoba memindahkan koin melalui bursa yang menghentikan deposit dan penarikan—transaksi bisa gagal dan tertahan.
3. Jangan kirim aset ke Kava melalui jembatan Axelar: jembatan tersebut telah dihentikan, dan aset yang dikirim bisa tersangkut di tengah jalan.
4. Sebelum pihak resmi mengumumkan skema kompensasi, tautan, pesan pribadi, atau formulir apa pun yang mengatasnamakan «pengajuan kompensasi» atau «pendaftaran pengembalian dana» adalah palsu. Jangan mengekliknya dan jangan memasukkan frasa pemulihan dompet.
5. Jangan buru-buru membeli saat harga turun: akar masalah belum diumumkan, laporan belum keluar, dan kompensasi belum ditetapkan. Setelah harga koin anjlok lebih dari separuh dalam sehari, harganya masih berkisar di sekitar US$0,03. Risikonya belum terselesaikan.
Pandangan BaoBao: Hal yang paling perlu diwaspadai dari serangan ini bukan jumlah kerugiannya—US$3,76 juta bukan angka besar dibandingkan kasus pencurian tahun ini—melainkan caranya: sebuah pasar BUSD yang sudah lama tidak aktif dan kondisi batas yang hanya mencegah transaksi jika pasokan bersih tepat nol, ternyata cukup untuk meminjam habis lebih dari 55 juta koin. Pool kecil dan pasar yang tidak digunakan siapa pun justru merupakan «sudut tersembunyi» yang paling rawan masalah. Penilaian saya: sebelum laporan resmi terbit, risiko KAVA belum terselesaikan. Membeli saat harga turun berarti bertaruh saat informasi belum lengkap. Tunggu sampai akar masalah dan skema kompensasi dalam laporan jelas, baru pertimbangkan apakah layak. Saya hanya akan mengubah pandangan jika salah satu dari dua hal ini terjadi: laporan resmi menjelaskan akar masalah dan jadwal kompensasi, atau pool Kava Lend kembali memungkinkan penarikan normal. Sebaliknya, jika laporan terus tertunda dan kompensasi tak kunjung jelas, KAVA masih harus mencari level support yang lebih rendah.
Tiga hal yang perlu dipantau selanjutnya
Pertama, kapan laporan lengkap insiden Kava terbit: perhatikan apakah angka kerugiannya memang US$3,76 juta, apakah akar masalahnya algoritma indeks bunga pasar BUSD, apakah deposan akan mendapat kompensasi, dan dari mana kompensasi itu akan dibayarkan. Laporan ini akan menjadi penutup seluruh insiden.
Kedua, kapan jembatan Axelar dan layanan deposit serta penarikan di bursa Korea Selatan kembali dibuka: pengumuman pembukaan kembali berarti pihak resmi menilai risiko sudah terkendali; jika tetap tidak dibuka, berarti masalahnya lebih besar daripada yang tertulis dalam pernyataan.
Ketiga, apakah harga KAVA bisa kembali bertahan di atas US$0,05: jika tidak, berarti pasar masih menunjukkan sentimen negatif. Pantau juga apakah total aset yang terkunci di Kava Lend terus menyusut.
Begitu salah satu dari tiga hal ini terwujud, saya akan segera menerbitkan utas pembaruan—ulasan laporan insiden dan skema kompensasinya layak diikuti. Ikuti saya, agar kamu bisa langsung melihatnya saat laporan terbit.
Kalau kamu punya KAVA, apakah sekarang akan beralih ke aset lain untuk menghindari risiko, atau menunggu laporan resmi insiden sebelum mengambil keputusan?
— BaoBao