Kavaブロックチェーンのネイティブ融資プロトコルKava Lendが土曜夜に資金を抜き取られた。攻撃者は少額のBUSD借入で休眠市場の担保価値を24.3万倍に膨らませ、127回に分けて5,520万枚のKAVAを借り出した。トークン価格は24時間で59%急落した。(関連記事:Cronosが緊急停止!Tectonicのガバナンストークンが操作され、30分で価格を100倍に吊り上げられ7,500万ドルが流出)(背景解説:Bonzo Lendがオラクル攻撃を受ける!数ドルの担保で900万ドル相当のUSDC+HBARを借り出される) 融資プロトコルKava Lendが昨夜(14日)、攻撃を受けた。攻撃者はまずごく少額のBUSDを借り、すでに利用停止となっていたステーブルコイン市場の純供給量をほぼゼロまで押し下げた。その結果、自身の預け入れ資産はわずか3分で、プロトコルによって天文学的な価値として認識され、127回に分けて約5,520万枚のKAVAが借り出された。 攻撃前の1枚0.068ドルで計算すると、これらのトークンの帳簿上の価値は約376万ドル。プロトコルの預金をまとめて保管するモジュール口座の残高は、わずか1時間半で5,533万枚から0.19枚にまで減少した。 トークン価格も同時に急落した。KAVAは攻撃の情報が伝わった後、下落を続け、執筆時点では0.0276ドル。24時間の下落率は59.3%で、24時間の安値は0.02507ドルだった。攻撃前の0.068ドルと比べると、この事件で保有者が被った帳簿上の損失は、すでに盗まれた金額を上回っている。 KAVA/USDTの直近48時間の推移(データ提供:Binance、動区作成) 3分で担保価値を24万倍に膨張 オンチェーンの時系列データによると、攻撃は米国時間金曜日の23:01に始まった。攻撃者はまずごく少額のBUSDを借り、Kava LendのBUSD市場の純供給量を「1ドルの2億分の1」にまで減少させた。 Kava Lendの預金証明書の価格は、市場の純供給量と金利モデルに基づいて算出される。分母がほぼゼロにまで押し下げられると、プロトコルはその後3分以内に、BUSD預金1件ごとの価値を約24.3万倍に膨らませた。これにより、攻撃者が事前に預け入れていたBUSDは、約12.5億枚分のBUSD担保として扱われた。 この金利と交換レートの計算ロジックは、Kavaのオープンソースコードで公開されており、純供給量をどこまで押し下げると交換レートが暴走するかは誰でも事前に計算できる。こうして実際には存在しない形で膨らませた担保を使い、攻撃者はKAVAの借入を127回連続で行い、さらに2つ目のアカウントで1件ずつ返済することで、KAVAの借入総量に設けられた上限を回避した。 オンチェーンの痕跡を見ると、これは突発的な犯行ではない。同じ市場では11月8日から預け入れと借入を繰り返すループが確認されており、攻撃者は少なくとも1週間前から準備していた。 4,920万枚のKAVAをBNB Chainに移し、1時間で売り抜け 続いて攻撃者は、KavaのLayerZeroクロスチェーンブリッジを通じて約4,920万枚のKAVAをBNB Chain上のアドレスに送金し、1時間以内にほぼすべてを売却。3,006.5枚のBNBと231,557枚のUSDT、合計約209万ドルを得た。BNBはその後、別の場所へ移された。 また、約458万枚のKAVAがKavaチェーン上のラベルのない5つのアドレスに流れた。帳簿上の価値376万ドル分が約209万ドルの現金に換わったことになり、実際の換金率は約56%だった。 公式発表:「無限増刷ではない」、詳細な報告書は未公開 Kavaが初めて公に反応したのは、台湾時間の土曜午後7:28。攻撃開始から7時間以上が経過しており、当初は「Kavaエコシステム内のあるdAppに由来する異常な挙動を追跡している」と説明した。 約30分後、チームはBSC上でKAVAがクロスチェーン送金され、売却されたことを把握していると補足し、「これは無限増刷ではなく、事態はKava Lend内に封じ込められ、制限されている」と強調した。午前9:05、Kavaは慎重を期してAxelarクロスチェーンブリッジを一時停止したと発表し、完全な事故報告書は完成後に公開すると説明。提携取引所も同時にKAVAの入出金を停止した。 We are tracking unexpected behavior originating from a dApp within the Kava ecosystem. Our teams are investigating with high priority – stand by for an official update shortly. — Kava (@KAVA_CHAIN) November 14, 2026 記事執筆時点で、Kavaは公式な損失額を示しておらず、事後分析もまだ公開していない。この事件を「進行中の事案」と位置づけるにとどまっている。 休眠市場が誰も見張っていない裏口に BUSDの発行元は2023年、米国の規制当局から新規発行の停止を命じられた。その後、多くの融資プロトコルのBUSD市場では、残存資金が回り続けるだけとなり、預け入れ、借入、清算はほぼ停止していた。 市場で取引がなくなると純供給量は極端に小さくなるが、プロトコルの交換レート計算は「この市場は誰も使っていない」からといって自動で停止するわけではない。今回Kava Lendで突かれたのは、まさにこの隙だ。攻撃者は誰かを説得する必要も、暗号技術を突破する必要もない。誰も監視していない市場の純供給量をゼロに近づけるだけで、担保の価値を自分で決められる。 同様の事件は過去1年、繰り返し起きている。Cronos上のTectonicは今年8月、ガバナンストークン価格の操作によって7,500万ドルを流出させた。Hedera上のBonzo Lendは7月、数ドルの担保で900万ドルを借り出された。Balancer V1では8月末に精度の脆弱性が発覚した。共通しているのは「分母が極端に小さくなる」計算処理であり、秘密鍵の漏えいではない。 今後の注目点 まず注目すべきは差額だ。現時点で公開されている2つの送金先に流れた額は合計5,378万枚で、引き出された5,520万枚との差は約140万枚。公式事故報告書がこの分を説明するかどうかで、最終的な損失額が決まる。 2つ目は補償だ。Kava Lendの預金者は主にステーブルコインを預けているが、この種のプロトコルには預金保険がない。損失は最終的に預金者が負担するか、プロトコルの財務資金で計上することになる。チームは現時点で、補償について何も発表していない。 3つ目は、ほかの休眠市場だ。BUSD以外にも、すでに新規発行が停止されながら融資プロトコルに残っているステーブルコイン市場がいくつかある。同じように少額の借入1件で純供給量をほぼゼロにできるなら、次の資金流出事件が起きる可能性はある。 関連記事 1サトシのWBTCでプール資産を総取り!Balancer V1の資金プールに精度の脆弱性、23万ドルの損失 Term Finance、ガバナンスの脆弱性を突かれ850万ドルが流出:7日間のロック期間とLPの拒否権がともに突破される クロスチェーンブリッジで再び事件!Allbridge Coreがフラッシュローン攻撃を受け、165万ドルの損失 ... 「KAVAが59%暴落!Kava Lendがハッキングで376万ドル相当を流出、担保価値が24万倍に膨張」この記事は、動区BlockTempo(動区動趨―最も影響力のあるブロックチェーンニュースメディア)で最初に公開されました。