ユセフ・イスカンダル — アルジャジーラ・ネットワーク、インディペンデント・アラビア、Binanceプラットフォームのライター

2026年11月14日、KAVAは短時間で前例のない急落に見舞われました。価格は0.068ドル近辺から0.025～0.036ドルの過去最安値圏まで下落し、わずか数時間で40％を超える損失を記録。一部の取引所では、24時間で55～60％を超える下落となりました。原因はテクニカルな調整でも市場全体の売りでもなく、ネットワークの主要な貸し借りプロトコルであるKava Lendを狙ったエクスプロイト（脆弱性の悪用）でした。

事件の背景

Kavaは、分散型金融（DeFi）に重点を置くレイヤー1ブロックチェーンで、CosmosとEthereumのエコシステムをつないでいます。Kava Lendは同チェーンのネイティブな貸し借りプロトコルで、ユーザーは資産を預け入れ、それを担保に借り入れます。

攻撃の数日前、KAVAの価格は0.067～0.069ドル前後で比較的安定していました。その後、11月13日金曜日の遅い時間に異常な値動きが始まり、11月14日土曜日の朝まで続きました。

攻撃はどのように実行されたのか？

攻撃者は、Kava Lend内にある休眠状態のBUSD市場の脆弱性を利用しました。この市場は長期間（およそ2023年以降）ほぼ停止状態にあり、流動性もごくわずかでした。

オンチェーン分析（The BlockやBitqueryなどの情報源）による主な手順は次のとおりです。

金利指標の操作：攻撃者は、BUSD市場の純供給量（net supply）をゼロに近いごく小さな値まで押し下げました。その結果、金利計算の仕組みで計算エラー（ほぼゼロの数値で除算）が発生し、この市場の預入資産の価値が、わずか数分で約24万3,000倍に膨れ上がりました。

繰り返しの借り入れ：攻撃者は、膨らんだ担保を使って大量のKAVAを借り入れました。約127回連続で借り入れを実行しました。プロトコルに設定された借入上限を回避するため、補助アカウントを使い、各借り入れの直後に清算（liquidation）を行うことで、新たな借り入れができる状態を作りました。

資産の流出：約5,520万KAVAの借り入れに至りました。攻撃前の価値に換算すると約376万ドルです。プロトコルの口座残高は約5,530万KAVAから、ほぼ1トークン未満にまで減少しました。

送金と売却：攻撃者は約4,920万KAVAをLayerZeroブリッジ経由でBNB Chainに移しました。そこで大半を流動性の低い市場で速やかに売却し、BNBとUSDT合わせて約210万ドルを得ました。短時間に集中したこの大量売却が、価格暴落の引き金となりました。

Kavaチームは、この事件は無限ミント（つまり、新たなトークンが無から作られたこと）ではなく、被害はKava Lendプロトコル内にとどまり、基盤となるネットワーク自体には及んでいないと公式に確認しました。

反応と影響

Upbit、Bithumb、Coinoneなどの韓国大手取引所は、予防措置としてKAVAの入出金を停止しました。

KavaはAxelarブリッジを一時停止しました。

この事件によって貸し借りプロトコルへの信頼が大きく損なわれ、貸し手は深刻な流動性不足に直面しました（プロトコルは約5,500万KAVAの債務を抱えている一方、プールに残っている資産はほぼゼロです）。

暴落後

暴落後、価格は短期的なテクニカル反発を見せました。空売りポジションの買い戻しや投機筋の参入により、こうした出来事の後に反発が起きるのはよくあることです。しかし、根本的な損害は残っています。主要プロトコルのセキュリティ上の脆弱性、貸し手の流動性損失、そしてエコシステムの評判への悪影響です。

この攻撃は、休眠状態の市場や分散型金融の貸し借りプロトコルにおける計算上の脆弱性を悪用した、典型的な事例です。特に古い部分や使用頻度の低い部分について、コードを継続的に監査することの重要性を示しています。

チームによる調査は現在も続いており、より詳細な技術報告書が後日公表される見込みです。