Giao thức cho vay gốc trên blockchain Kava, Kava Lend, đã bị rút sạch vào đêm thứ Bảy. Kẻ tấn công dùng một khoản vay BUSD nhỏ để đẩy giá trị tài sản thế chấp của thị trường ngủ đông tăng gấp 243.000 lần, rồi vay tổng cộng 55,2 triệu KAVA qua 127 lần; token lao dốc 59% trong 24 giờ. （Đọc trước: Cronos khẩn cấp dừng mạng! Token quản trị Tectonic bị thao túng, tăng giá gấp trăm lần trong nửa giờ rồi bị rút sạch 75 triệu USD） （Bổ sung bối cảnh: Bonzo Lend bị tấn công oracle! Vài USD tài sản thế chấp lại vay được 9 triệu USD USDC＋HBAR）   Giao thức cho vay Kava Lend đã bị tấn công vào tối qua (ngày 14). Kẻ tấn công trước tiên vay một lượng BUSD cực nhỏ, đẩy nguồn cung ròng của thị trường stablecoin đã ngừng hoạt động từ lâu xuống gần bằng không. Điều này khiến giao thức ghi nhận khoản tiền gửi của kẻ tấn công thành con số khổng lồ chỉ trong ba phút, sau đó kẻ này vay khoảng 55,2 triệu KAVA qua 127 lần. Tính theo mức giá 0,068 USD mỗi token trước vụ tấn công, số token này có giá trị sổ sách khoảng 3,76 triệu USD. Trong khi đó, tài khoản mô-đun lưu trữ tiền gửi tập thể của giao thức đã giảm từ 55,33 triệu token xuống chỉ còn 0,19 token trong vòng một tiếng rưỡi. Giá token cũng lao dốc theo. KAVA liên tục giảm sau khi tin tức được công bố; tại thời điểm viết bài, giá ở mức 0,0276 USD, giảm 59,3% trong 24 giờ và chạm đáy 0,02507 USD. So với mức 0,068 USD trước vụ tấn công, khoản lỗ trên giấy mà người nắm giữ phải gánh chịu trong sự cố này đã lớn hơn số tiền bị đánh cắp. Diễn biến KAVA/USDT trong 48 giờ gần nhất (Nguồn: Binance, do Động Khu tự lập biểu đồ) Thổi phồng tài sản thế chấp gấp 240.000 lần trong ba phút Theo trình tự thời gian trên chuỗi, vụ tấn công bắt đầu lúc 23:01 thứ Sáu theo giờ Mỹ. Kẻ tấn công trước tiên vay một lượng BUSD cực nhỏ, khiến nguồn cung ròng trên thị trường BUSD của Kava Lend giảm xuống chỉ còn “một phần hai trăm triệu của một đô la”. Giá chứng chỉ tiền gửi của Kava Lend được tính toán dựa trên nguồn cung ròng của thị trường và mô hình lãi suất. Khi mẫu số bị đẩy xuống gần bằng không, trong ba phút tiếp theo, giao thức đã thổi phồng giá trị mỗi khoản tiền gửi BUSD lên khoảng 243.000 lần. Vì thế, số BUSD mà kẻ tấn công gửi vào từ trước đã biến thành khoảng 1,25 tỷ BUSD tài sản thế chấp. Logic tính lãi và tỷ giá quy đổi này được công khai trong mã nguồn mở của Kava, nên bất kỳ ai cũng có thể tính trước nguồn cung ròng phải bị đẩy xuống thấp đến mức nào thì tỷ giá quy đổi sẽ mất kiểm soát. Với lượng tài sản thế chấp được thổi phồng từ hư không này, kẻ tấn công liên tục thực hiện 127 khoản vay KAVA, rồi dùng tài khoản thứ hai để tất toán từng khoản, qua đó vượt qua giới hạn tổng lượng KAVA mà giao thức cho vay. Dấu vết trên chuỗi cho thấy đây không phải hành động bột phát: từ ngày 8 tháng 11, cùng thị trường này đã xuất hiện các vòng lặp gửi tiền và vay lặp đi lặp lại; kẻ tấn công hẳn đã chuẩn bị ít nhất một tuần. 49,2 triệu KAVA được chuyển sang BNB Chain và bán tháo trong một giờ Tiếp đó, kẻ tấn công dùng cầu nối xuyên chuỗi LayerZero của Kava để chuyển khoảng 49,2 triệu KAVA đến một địa chỉ trên BNB Chain, rồi bán gần như toàn bộ trong vòng một giờ, đổi lấy 3.006,5 BNB và 231.557 USDT, tổng cộng khoảng 2,09 triệu USD. BNB sau đó đã được chuyển đi. Khoảng 4,58 triệu KAVA khác được chuyển đến năm địa chỉ chưa được gắn nhãn trên chuỗi Kava. Với giá trị sổ sách 3,76 triệu USD đổi được khoảng 2,09 triệu USD tiền mặt, tỷ lệ hiện thực hóa thực tế vào khoảng 56%. Chính thức: Không phải phát hành vô hạn, báo cáo đầy đủ vẫn chưa được công bố Đến 19:28 tối thứ Bảy theo giờ Đài Loan, Kava mới lần đầu công khai phản hồi, hơn bảy giờ sau khi vụ tấn công bắt đầu. Khi đó, Kava cho biết “đang theo dõi hành vi bất thường bắt nguồn từ một dApp trong hệ sinh thái Kava”. Khoảng nửa giờ sau, đội ngũ bổ sung rằng họ đã nắm được việc KAVA được chuyển xuyên chuỗi và bán trên BSC, đồng thời nhấn mạnh: “Đây không phải là phát hành vô hạn; sự cố đã được cô lập và giới hạn trong Kava Lend.” Đến 9:05 sáng, Kava thông báo đã tạm dừng cầu nối xuyên chuỗi Axelar để thận trọng, đồng thời cho biết báo cáo sự cố đầy đủ sẽ được công bố sau khi hoàn tất; các sàn giao dịch đối tác cũng đồng thời tạm dừng nạp và rút KAVA. We are tracking unexpected behavior originating from a dApp within the Kava ecosystem. Our teams are investigating with high priority – stand by for an official update shortly. — Kava (@KAVA_CHAIN) November 14, 2026 Tính đến thời điểm viết bài, Kava chưa đưa ra con số thiệt hại chính thức, cũng chưa công bố phân tích hậu sự cố, mà chỉ mô tả đây là “sự cố đang diễn biến”. Thị trường ngủ đông trở thành cửa ngách không người canh Sau khi nhà phát hành BUSD bị cơ quan quản lý Mỹ yêu cầu ngừng phát hành thêm vào năm 2023, thị trường BUSD trên hầu hết các giao thức cho vay chỉ còn lượng tiền tồn đọng luân chuyển bên trong; hoạt động gửi tiền, vay và thanh lý gần như đình trệ. Khi thị trường không còn giao dịch, nguồn cung ròng sẽ bị đẩy xuống cực thấp, nhưng phép tính tỷ giá quy đổi của giao thức không tự động vô hiệu hóa chỉ vì “không ai sử dụng thị trường này”. Kava Lend lần này đã vấp phải đúng kẽ hở đó: kẻ tấn công không cần thuyết phục ai, cũng không cần phá vỡ mật mã; chỉ cần đưa nguồn cung ròng của một thị trường không ai theo dõi về không là có thể tự quyết định tài sản thế chấp đáng giá bao nhiêu. Những sự cố tương tự đã liên tục xảy ra trong năm qua. Tectonic trên Cronos bị khai thác vào tháng 8 năm nay, kẻ tấn công thao túng giá token quản trị để rút đi 75 triệu USD; Bonzo Lend trên Hedera bị rút 9 triệu USD vào tháng 7 chỉ bằng vài USD tài sản thế chấp; còn Balancer V1 phát hiện lỗ hổng độ chính xác vào cuối tháng 8. Điểm chung là khâu tính toán nơi “mẫu số bị đẩy xuống cực nhỏ”, chứ không phải khóa riêng bị rò rỉ. Những điều cần theo dõi tiếp theo Điều đầu tiên cần theo dõi là khoản chênh lệch. Hai địa chỉ nhận được công khai hiện có tổng cộng 53,78 triệu KAVA, vẫn còn khoảng 1,4 triệu KAVA chưa được giải trình so với 55,2 triệu token đã bị rút. Việc báo cáo sự cố chính thức có bổ sung phần này hay không sẽ quyết định con số thiệt hại cuối cùng. Thứ hai là bồi thường. Người gửi tiền vào Kava Lend chủ yếu sử dụng stablecoin; các giao thức kiểu này không có bảo hiểm tiền gửi, nên cuối cùng người gửi tiền sẽ phải gánh chịu tổn thất hoặc ngân quỹ giao thức sẽ ghi nhận khoản lỗ. Đội ngũ hiện chưa đề cập đến bất kỳ phương án bồi thường nào. Thứ ba là các thị trường ngủ đông khác. Ngoài BUSD, vẫn còn một số thị trường stablecoin đã ngừng phát hành thêm từ lâu nhưng vẫn tồn tại trong các giao thức cho vay. Nếu nguồn cung ròng của chúng cũng có thể bị một khoản vay nhỏ đẩy xuống gần bằng không, sự cố rút sạch tiếp theo có thể vẫn sẽ xảy ra. Bài viết liên quan 1 Satoshi đổi lấy toàn bộ tài sản trong pool! Pool thanh khoản Balancer V1 gặp lỗ hổng độ chính xác, thiệt hại 230.000 USD Term Finance bị đánh cắp 8,5 triệu USD do lỗ hổng quản trị: thời gian khóa bảy ngày và quyền phủ quyết của LP đều thất thủ Cầu nối xuyên chuỗi lại gặp sự cố! Allbridge Core bị tấn công bằng flash loan, thất thoát 1,65 triệu USD ...Bài viết “KAVA lao dốc thảm hại 59%! Kava Lend bị hack, rút sạch 3,76 triệu USD, tài sản thế chấp phình to gấp 240.000 lần” được đăng đầu tiên trên Động Khu BlockTempo (Động Khu Động Xu – cơ quan truyền thông tin tức blockchain có sức ảnh hưởng lớn nhất).