Нативный протокол кредитования блокчейна Kava, Kava Lend, был опустошён в субботу вечером. Злоумышленник с помощью небольшого займа в BUSD увеличил стоимость залога на неактивном рынке в 243 тысячи раз, а затем в 127 транзакциях занял 55,2 млн KAVA. За 24 часа токен обвалился на 59%. （Предыстория: Cronos экстренно остановил работу сети! Манипуляции с управляющим токеном Tectonic позволили за полчаса поднять его цену в сто раз и вывести 75 млн долларов） （Дополнительный контекст: Bonzo Lend атаковали через оракул! Под залог в несколько долларов удалось занять 9 млн долларов в USDC＋HBAR）   Вчера（14-го）вечером протокол кредитования Kava Lend подвергся атаке. Сначала злоумышленник занял совсем немного BUSD, снизив чистое предложение на давно неработающем рынке стейблкоина почти до нуля. В результате за три минуты протокол оценил его депозит в астрономическую сумму. Затем злоумышленник в 127 транзакциях занял около 55,2 млн KAVA. При цене 0,068 доллара за токен до атаки балансовая стоимость этих монет составляла около 3,76 млн долларов. Между тем баланс модульного счёта протокола, где хранились коллективные депозиты, за полтора часа упал с 55,33 млн токенов до всего 0,19. Цена токена рухнула одновременно. После появления новостей KAVA продолжил падать. На момент написания статьи его цена составляла 0,0276 доллара, снижение за 24 часа — 59,3%, а минимальная цена за сутки достигла 0,02507 доллара. По сравнению с ценой 0,068 доллара до атаки балансовые потери держателей токена в результате этого инцидента уже превышают сумму похищенного. Динамика KAVA/USDT за последние 48 часов（Источник данных: Binance, график составлен редакцией BlockTempo） За три минуты стоимость залога увеличилась в 240 тысяч раз Согласно хронологии транзакций в блокчейне, атака началась в пятницу в 23:01 по времени США. Сначала злоумышленник занял совсем немного BUSD, в результате чего чистое предложение BUSD на рынке Kava Lend сократилось до «одной двухсотмиллионной доли доллара». Цена депозитных сертификатов Kava Lend рассчитывается на основе чистого предложения на рынке и модели процентных ставок. Когда знаменатель уменьшился почти до нуля, за следующие три минуты протокол примерно в 243 тысячи раз увеличил стоимость каждого депозита в BUSD. В итоге внесённые злоумышленником заранее BUSD превратились примерно в 1,25 млрд BUSD залога. Логика расчёта процентов и обменного курса опубликована в открытом исходном коде Kava, поэтому любой мог заранее вычислить, насколько низким нужно сделать чистое предложение, чтобы обменный курс вышел из-под контроля. Получив залог, стоимость которого была искусственно завышена, злоумышленник последовательно оформил 127 займов в KAVA, а затем погасил каждый из них с помощью второго аккаунта, обойдя установленный протоколом лимит на общий объём займов в KAVA. Судя по следам в блокчейне, это не было спонтанным решением: с 8 ноября на том же рынке снова и снова повторялись циклы внесения депозитов и займов. Злоумышленник готовился как минимум неделю. 49,2 млн KAVA перевели в BNB Chain и распродали за час Затем злоумышленник через кроссчейн-мост LayerZero в сети Kava перевёл около 49,2 млн KAVA на адрес в BNB Chain и почти полностью распродал их в течение часа, получив 3 006,5 BNB и 231 557 USDT на общую сумму около 2,09 млн долларов. Впоследствии BNB были переведены на другой адрес. Ещё около 4,58 млн KAVA отправились на пять не помеченных ярлыками адресов в сети Kava. При балансовой стоимости в 3,76 млн долларов фактически удалось получить наличными около 2,09 млн долларов — примерно 56% от этой суммы. Официальное заявление: это не бесконечная эмиссия, полный отчёт ещё не опубликован Kava впервые публично отреагировала только в субботу в 19:28 по тайваньскому времени, спустя более семи часов после начала атаки. Тогда компания заявила, что «отслеживает необычную активность, исходящую от одного из dApp в экосистеме Kava». Примерно через полчаса команда дополнила заявление: ей известно о переводе KAVA через мост в BSC и его продаже. Она подчеркнула, что «это не бесконечная эмиссия, инцидент локализован и ограничен пределами Kava Lend». В 9:05 утра Kava объявила, что в целях предосторожности приостановила работу кроссчейн-моста Axelar, и сообщила, что полный отчёт об инциденте будет опубликован после завершения подготовки. Партнёрские биржи одновременно приостановили ввод и вывод KAVA. Мы отслеживаем необычную активность, исходящую от dApp в экосистеме Kava. Наши команды расследуют ситуацию в приоритетном порядке — следите за новостями, вскоре мы опубликуем официальное обновление. — Kava (@KAVA_CHAIN) 14 ноября 2026 На момент публикации Kava не назвала официальную сумму потерь и ещё не выпустила постфактум-отчёт, охарактеризовав произошедшее лишь как «развивающийся инцидент». Неактивный рынок стал незапертой боковой дверью После того как в 2023 году американские регуляторы потребовали от эмитента BUSD прекратить выпуск новых токенов, на рынках BUSD большинства кредитных протоколов остались только ранее внесённые средства. Депозиты, займы и ликвидации практически прекратились. Когда торговля на рынке прекращается, чистое предложение может упасть до крайне низкого уровня, но расчёт обменного курса протоколом не отключается автоматически из-за того, что «этим рынком никто не пользуется». Именно в эту брешь и попал Kava Lend: злоумышленнику не нужно было никого убеждать или взламывать криптографическую защиту — достаточно было обнулить чистое предложение на рынке, за которым никто не следит, чтобы самому определять стоимость залога. Подобные инциденты неоднократно происходили в течение последнего года. В августе этого года из Tectonic в сети Cronos вывели 75 млн долларов, манипулируя ценой управляющего токена; в июле с помощью залога стоимостью в несколько долларов из Bonzo Lend в сети Hedera заняли 9 млн долларов; в конце августа в Balancer V1 обнаружили уязвимость, связанную с точностью вычислений. Во всех случаях проблема заключалась в вычислительных операциях, где «знаменатель уменьшался до крайне малых значений», а не в утечке приватных ключей. Что будет дальше Прежде всего следует обратить внимание на расхождение в суммах. Согласно общедоступным данным, на два указанных адреса поступило в общей сложности 53,78 млн токенов. При этом из выведенных 55,2 млн KAVA судьба примерно 1,4 млн остаётся неизвестной. Укажет ли официальный отчёт об инциденте, куда делась эта часть, определит итоговую сумму потерь. Второй вопрос — компенсации. Вкладчики Kava Lend в основном размещали стейблкоины. У таких протоколов нет страхования депозитов, поэтому в конечном счёте потери либо лягут на вкладчиков, либо будут признаны убытками из казны протокола. Команда пока не упоминала никаких планов по выплате компенсаций. Третий вопрос — другие неактивные рынки. Помимо BUSD, в кредитных протоколах всё ещё есть рынки нескольких стейблкоинов, выпуск которых давно прекращён. Если чистое предложение на них можно аналогичным образом почти обнулить одним небольшим займом, подобный вывод средств может повториться. Связанные материалы Весь пул активов обменяли на 1 сатоши WBTC! В Balancer V1 обнаружили уязвимость точности вычислений, убытки составили 230 тысяч долларов Из Term Finance украли 8,5 млн долларов, воспользовавшись уязвимостью управления: не помогли ни семидневный период блокировки, ни право вето LP Снова проблема с кроссчейн-мостом! Allbridge Core потерял 1,65 млн долларов в результате атаки с использованием флеш-займа ...Статья «KAVA рухнул на 59%! Kava Lend взломали и опустошили на 3,76 млн долларов, стоимость залога выросла в 240 тысяч раз» впервые опубликована на BlockTempo（動區動趨 — самое влиятельное СМИ о блокчейне）.