55,2 млн токенов, 127 транзакций, рост в 243 тысячи раз: за ночь из Kava Lend вывели всё, цена KAVA за день упала на 55,8%, а команда до сих пор не объяснила, что будет с вкладчиками.
Коротко о произошедшем: 14 ноября ранним утром злоумышленник воспользовался почти неиспользуемым рынком BUSD в Kava Lend — нативном протоколе кредитования в сети Kava. Из пула заняли все 55,2 млн KAVA, почти 49,2 млн токенов перевели в BNB Chain и продали в течение часа. За день цена KAVA упала с 0,068 до 0,03 доллара. Команда Kava выпустила три заявления, суть которых сводится к двум тезисам: бесконечной эмиссии не было, инцидент затронул только Kava Lend. Но официальные данные об ущербе, причина случившегося и порядок компенсации вкладчикам так и не раскрыты.
Что изменилось: сверяем три официальных заявления с данными блокчейна
Сначала посмотрим, что сообщила команда Kava (официальный аккаунт Kava в X @KAVA_CHAIN, 14 ноября 2026 года, все три заявления — по пекинскому времени):
19:28, первое заявление: команда отслеживает необычную активность одного из dApp в экосистеме и в первую очередь проводит расследование. Обратите внимание на время: с начала атаки прошло уже более семи часов, а биржа Upbit приостановила ввод и вывод средств более чем за час до официального заявления.
20:01, второе заявление: команде известно о переводе KAVA между сетями и его продаже в BSC; «это не бесконечная эмиссия, инцидент локализован и ограничен Kava Lend»; биржи-партнёры в качестве меры предосторожности приостановили ввод и вывод средств.
22:05, третье заявление: в качестве меры предосторожности приостановлен вывод средств через кроссчейн-мост Axelar, полный отчёт об инциденте будет опубликован позднее. Важная деталь: украденные токены перевели через мост LayerZero, а не Axelar. Axelar приостановили, чтобы предотвратить вторую волну атаки.
К полудню сегодня, 15 ноября, ни четвёртого заявления, ни отчёта об инциденте не появилось. Команда до сих пор не назвала произошедшее «взломом», ограничиваясь формулировкой «необычная активность». Официальных данных об ущербе и его причинах также нет.
Теперь посмотрим, что происходило в блокчейне (данные блокчейн-анализа The Block и Bitquery, сопоставленные с сообщениями нескольких СМИ):
С 8 ноября злоумышленник неоднократно тестировал этот рынок BUSD и готовился несколько дней.
14 ноября в 12:01 по пекинскому времени злоумышленник сначала занял небольшую сумму BUSD, сократив чистое предложение на этом бездействующем рынке до двух базовых единиц — 0,00000002 доллара. Код Kava Lend предусматривал защиту только на случай, если чистое предложение «точно равно нулю», но не «почти равно нулю». В результате за три минуты индекс начисления процентов по вкладам на этом рынке вырос примерно в 243 тысячи раз, и в глазах протокола депозит злоумышленника в BUSD превратился в астрономическую сумму.
В течение следующих примерно полутора часов злоумышленник использовал это искусственно раздутый залог, чтобы 127 отдельными транзакциями занять около 55,2 млн KAVA. После каждого займа он ликвидировал его со второго аккаунта, обходя лимит займа на один аккаунт. В пуле из 55,33 млн KAVA осталось всего 0,19 токена — его практически опустошили.
14 ноября в 17:59 около 49,2 млн KAVA перевели через LayerZero в BNB Chain и почти полностью продали в течение часа, получив 3 006,5 BNB и 231 557 USDT — в общей сложности около 2,09 млн долларов. Если считать по цене 0,068 доллара до атаки, стоимость занятых токенов составляла около 3,76 млн долларов. Данные блокчейн-анализа также показывают, что примерно 1,17 млн долларов из украденных средств впоследствии обменяли на Monero, а ещё 612 тысяч USDT были помечены как заблокированные после перевода через мост; отправитель может их отозвать, поэтому считать их возвращёнными нельзя.
Почему рынок BUSD оказался уязвимым: Paxos прекратила выпуск BUSD ещё в 2023 году, и этот рынок в Kava Lend практически не использовался. На него никто не смотрел и им никто не пользовался — именно такие забытые уголки чаще всего становятся уязвимыми.
Кого это затронуло: четыре группы — четыре разные ситуации
Первая группа — вкладчики Kava Lend, пострадавшие напрямую: пул задолжал кредиторам около 55,2 млн KAVA, а на балансе осталось всего 0,19 токена. Таков размер дефицита ликвидности. Команда Kava до сих пор не сообщила, будут ли компенсировать потери вкладчикам и из какого источника. По данным DefiLlama, объём средств, заблокированных в Kava Lend, сократился с 7,418 млн долларов 13 ноября до последних 5,549 млн долларов. Пул продолжает уменьшаться.
Вторая группа — все держатели KAVA: цена за день упала более чем вдвое. По снимку котировок Binance KAVA/USDT от Finnhub (сегодня, 13:28 по пекинскому времени): 0,03027 доллара — на 55,8% ниже предыдущего закрытия на уровне 0,06849 доллара; внутридневной минимум составил 0,02507 доллара. Цена закрытия 14 ноября — 0,03816 доллара. По данным CoinGlass, падение за 24 часа по аналогичной методике составило около 60,9%. По данным HTX, в первый час после появления новости цена токена упала примерно на 42%.
Третья группа — держатели KAVA на корейских биржах: Upbit первой приостановила ввод и вывод KAVA 14 ноября в 18:36 по пекинскому времени, сославшись на исполнительный указ к Закону о защите пользователей виртуальных активов, а затем добавила предупреждение о рисках торговли. Bithumb и Coinone также приостановили переводы KAVA. Пока что вывести токены с бирж нельзя.
Четвёртая группа — те, кто собирался переводить активы в сеть Kava через мост Axelar: мост приостановлен. Не отправляйте туда активы — они могут застрять в пути.
Важные сроки и условия: три пункта уже выполнены, два — нет
Уже выполнено: ① команда опровергла бесконечную эмиссию и заявила, что инцидент ограничен Kava Lend (14 ноября, 20:01); ② Upbit, Bithumb и Coinone приостановили ввод и вывод KAVA; ③ мост Axelar приостановил вывод средств (22:05).
Не выполнено: ① полный отчёт об инциденте — сроков нет; ② план компенсации вкладчикам — ни слова.
Важно: оценка ущерба в 3,76 млн долларов — это расчёт The Block и Bitquery по цене до атаки, а не официальные данные. Не выдавайте её за официальную цифру. Аналогично, цифры 243 тысячи раз, 127 транзакций и 55,2 млн токенов получены в ходе анализа блокчейна; команда официально подтвердила только сам факт перевода между сетями и продажи.
Пять действий, которые читателям стоит предпринять сейчас
1. Если у вас есть вклад или заём в Kava Lend, сначала проверьте состояние своей позиции и сохраните скриншоты. Пул уже опустошён — не вносите туда новые активы. Информации о том, можно ли и когда будет вывести средства, ждите в официальном отчёте об инциденте. Не верьте сообщениям в чатах о «внутреннем канале» или «предварительной регистрации на компенсацию».
2. Если вы держите KAVA, сначала проверьте объявления своей биржи. Три корейские биржи уже приостановили ввод и вывод; остальные биржи пока не предприняли единых мер. Не пытайтесь многократно переводить средства на биржах, где ввод и вывод приостановлены: перевод всё равно может не пройти или зависнуть.
3. Не переводите активы в Kava через мост Axelar: он приостановлен, и средства могут застрять в пути.
4. Пока команда не опубликовала план компенсаций, любые ссылки, личные сообщения и формы с предложениями «подать заявку на компенсацию» или «зарегистрировать возврат средств» — мошеннические. Не переходите по ним и не вводите мнемоническую фразу.
5. Не спешите покупать на падении: причины не раскрыты, отчёта нет, компенсации не определены, а после обвала цены вдвое за день токен всё ещё колеблется около 0,03 доллара. Риски не устранены.
Моё мнение: в этой атаке тревожнее всего не сумма — 3,76 млн долларов не так много по сравнению с кражами в этом году, — а способ: давно неиспользуемый рынок BUSD и пограничное условие «блокировать только при нулевом чистом предложении» позволили занять более 55 млн токенов. Небольшой пул, которым никто не пользуется, — именно такие «забытые уголки» чаще всего и становятся уязвимыми. Мой вывод: пока не опубликован официальный отчёт, риски для KAVA не устранены, а покупать на падении — значит делать ставку при неполной информации. Обсуждать, стоит ли это делать, можно будет после того, как в отчёте укажут причину и план компенсаций. Я изменю своё мнение только в двух случаях: официальный отчёт назовёт причину и сроки компенсаций либо пул Kava Lend снова позволит нормально выводить средства. И наоборот: если отчёт задержится, а о компенсациях так ничего и не скажут, KAVA продолжит искать поддержку ниже.
На что обратить внимание дальше: три момента
Во-первых, когда выйдет полный отчёт Kava об инциденте: совпадает ли сумма ущерба с 3,76 млн долларов, связана ли причина с алгоритмом индекса начисления процентов на рынке BUSD, получат ли вкладчики компенсацию и из какого источника. Этот отчёт поставит точку во всей истории.
Во-вторых, когда возобновятся работа моста Axelar и ввод и вывод средств на корейских биржах. Объявление о возобновлении покажет, что команда считает риски контролируемыми; если ограничения сохранятся, значит, проблема серьёзнее, чем сказано в заявлениях.
В-третьих, сможет ли цена KAVA закрепиться выше 0,05 доллара. Если нет, значит, рынок продолжает голосовать ногами. Также следите, не продолжит ли сокращаться объём средств, заблокированных в Kava Lend.
Как только одно из этих трёх событий произойдёт, я сразу опубликую пост с разбором: комментарии к отчёту об инциденте и плану компенсаций будут полезны. Подписывайтесь — как только выйдет отчёт, вы сразу об этом узнаете.
Если у вас есть KAVA, что вы будете делать сейчас: сначала переведёте средства в другие активы, чтобы снизить риски, или дождётесь официального отчёта об инциденте?
— Баобао