55.2 triệu coin, 127 giao dịch, gấp 243,000 lần: Kava Lend bị vét sạch chỉ sau một đêm, KAVA giảm 55.8% trong một ngày, đến giờ phía chính thức vẫn chưa nói rõ người gửi tiền sẽ ra sao.
Nói ngắn gọn trước về chuyện đã xảy ra: Kava Lend, giao thức cho vay gốc trên chuỗi Kava, đã bị khai thác vào rạng sáng ngày 14 tháng 11 thông qua một thị trường BUSD hầu như không ai sử dụng. 55.2 triệu KAVA trong pool bị vay sạch, gần 49.2 triệu coin được chuyển sang BNB Chain và bán hết trong vòng một giờ; KAVA giảm từ 0.068 USD xuống 0.03 USD chỉ trong một ngày. Phía chính thức liên tiếp đưa ra ba tuyên bố, cốt lõi chỉ có hai ý: không có phát hành vô hạn, sự việc chỉ xảy ra trong Kava Lend. Nhưng họ không đưa ra bất kỳ thông tin nào về con số thiệt hại, nguyên nhân gốc hay cách bồi thường cho người gửi tiền.
Điều gì đã thay đổi: đối chiếu đầy đủ ba tuyên bố chính thức và quá trình tái dựng dữ liệu trên chuỗi
Trước tiên, hãy xem phía chính thức đã nói gì (tài khoản X chính thức của Kava @KAVA_CHAIN, ngày 14 tháng 11 năm 2026, ba tuyên bố, tất cả theo giờ Bắc Kinh):
19:28, tuyên bố thứ nhất: đang theo dõi hành vi bất thường của một dApp trong hệ sinh thái, đội ngũ ưu tiên điều tra. Hãy chú ý thời điểm này — cuộc tấn công đã bắt đầu hơn 7 tiếng, sàn Upbit đã ngừng nạp/rút sớm hơn phía chính thức hơn một tiếng.
20:01, tuyên bố thứ hai: đã nắm được thông tin KAVA được chuyển xuyên chuỗi và bán tháo trên BSC; “đây không phải là phát hành vô hạn, sự việc đã được khoanh vùng và giới hạn trong Kava Lend”; các sàn giao dịch đối tác đã tạm ngừng nạp/rút như một biện pháp phòng ngừa.
22:05, tuyên bố thứ ba: tạm dừng rút tiền qua cầu xuyên chuỗi Axelar để thận trọng, báo cáo sự cố đầy đủ sẽ được công bố sau. Lưu ý một chi tiết: số coin bị đánh cắp được chuyển qua cầu LayerZero, không phải Axelar; việc dừng Axelar nhằm ngăn chặn đợt tấn công thứ hai.
Đến trưa nay (ngày 15 tháng 11), vẫn chưa có tuyên bố thứ tư hay báo cáo sự cố. Phía chính thức đến nay chưa dùng từ “bị hack”, mà vẫn gọi đây là “hành vi bất thường”; họ cũng chưa đưa ra con số thiệt hại chính thức hay nguyên nhân gốc.
Tiếp theo, hãy xem thực tế đã xảy ra gì trên chuỗi (dữ liệu truy vết trên chuỗi của The Block và Bitquery, được nhiều hãng truyền thông đối chiếu):
Từ ngày 8 tháng 11, kẻ tấn công đã liên tục thử khai thác thị trường BUSD này và chuẩn bị trong nhiều ngày.
12:01 trưa ngày 14 tháng 11 (giờ Bắc Kinh), kẻ tấn công trước tiên vay một lượng BUSD rất nhỏ, khiến nguồn cung ròng của thị trường đang ngủ yên này chỉ còn 2 đơn vị cơ bản, tức 0.00000002 USD. Mã của Kava Lend chỉ phòng trường hợp nguồn cung ròng “chính xác bằng 0”, chứ không xử lý trường hợp “gần bằng 0” — kết quả là chỉ trong ba phút, chỉ số lãi suất tiền gửi của thị trường này phình lên khoảng 243,000 lần, khiến khoản tiền gửi BUSD của kẻ tấn công trở thành con số thiên văn trong mắt giao thức.
Trong khoảng một tiếng rưỡi tiếp theo, kẻ tấn công dùng tài sản thế chấp bị thổi phồng này để chia thành 127 lần vay khoảng 55.2 triệu KAVA; sau mỗi lần vay, chúng dùng tài khoản thứ hai để thanh lý một khoản, qua đó lách giới hạn vay của mỗi tài khoản. Lượng KAVA trong pool giảm từ 55.33 triệu coin xuống chỉ còn 0.19 coin, gần như bị vét sạch.
17:59 ngày 14 tháng 11, khoảng 49.2 triệu KAVA được chuyển qua LayerZero sang BNB Chain, rồi gần như bán hết trong vòng một giờ, đổi lấy 3,006.5 BNB và 231,557 USDT, tổng cộng khoảng 2.09 triệu USD. Tính theo mức giá 0.068 USD trước cuộc tấn công, số coin bị vay đi trị giá khoảng 3.76 triệu USD. Dữ liệu truy vết trên chuỗi cũng cho thấy khoảng 1.17 triệu USD tiền đánh cắp sau đó được đổi thành Monero; thêm 612,000 USDT bị đánh dấu và chặn qua cầu xuyên chuỗi, bên gửi có thể rút lại nên không được tính là đã thu hồi.
Vì sao thị trường BUSD này là điểm yếu: Paxos đã ngừng phát hành BUSD từ năm 2023, thị trường này trong Kava Lend về cơ bản đã ngừng hoạt động; không ai để ý, chẳng ai sử dụng — chính những góc khuất như vậy lại dễ xảy ra sự cố nhất.
Ai bị ảnh hưởng: bốn nhóm người, bốn hoàn cảnh khác nhau
Nhóm thứ nhất, người gửi tiền vào Kava Lend, chịu ảnh hưởng trực tiếp nhất: pool đang nợ người cho vay khoảng 55.2 triệu KAVA, nhưng trên sổ chỉ còn 0.19 coin — thiếu hụt thanh khoản lớn đến mức đó. Đến giờ Kava vẫn chưa nói người gửi tiền sẽ được bồi thường thế nào, có được bồi thường hay không, và tiền bồi thường đến từ đâu. Dữ liệu DefiLlama: tài sản khóa trong Kava Lend giảm từ 7.418 triệu USD ngày 13 tháng 11 xuống mức mới nhất là 5.549 triệu USD; pool vẫn đang co lại.
Nhóm thứ hai, tất cả người nắm giữ KAVA: giá coin giảm hơn một nửa chỉ trong một ngày. KAVA/USDT trên Binance, dữ liệu chụp từ Finnhub (13:28 hôm nay, giờ Bắc Kinh): 0.03027 USD, giảm 55.8% so với giá đóng cửa trước đó là 0.06849 USD; mức thấp nhất trong ngày là 0.02507 USD. Giá đóng cửa ngày 14 tháng 11 là 0.03816 USD. Theo cùng cách tính, mức giảm 24 giờ trên CoinGlass là khoảng 60.9%. Dữ liệu thị trường HTX cho thấy giá coin đã giảm khoảng 42% ngay trong giờ đầu tiên sau khi tin tức xuất hiện.
Nhóm thứ ba, những người gửi KAVA vào các sàn giao dịch Hàn Quốc: Upbit là sàn đầu tiên tạm ngừng nạp/rút KAVA vào lúc 18:36 ngày 14 tháng 11 (giờ Bắc Kinh), căn cứ theo nghị định thi hành Luật Bảo vệ người dùng tài sản ảo, sau đó bổ sung cảnh báo thận trọng khi giao dịch; Bithumb và Coinone cũng tạm ngừng chuyển KAVA. Tạm thời, coin đang ở đó không thể chuyển ra ngoài.
Nhóm thứ tư, những người muốn chuyển tài sản xuyên chuỗi sang Kava qua cầu Axelar: cầu đã tạm ngừng, đừng gửi thêm tài sản vào đó; tài sản gửi đi có thể bị mắc kẹt giữa chừng.
Các mốc thời gian và điều kiện then chốt: ba việc đã hoàn tất, hai việc chưa
Đã hoàn tất: ① phía chính thức phủ nhận việc phát hành vô hạn và xác định sự việc chỉ giới hạn trong Kava Lend (20:01 ngày 14 tháng 11); ② Upbit, Bithumb và Coinone tạm ngừng nạp/rút KAVA; ③ cầu Axelar tạm ngừng rút tiền (22:05).
Chưa hoàn tất: ① báo cáo sự cố đầy đủ, chưa có lịch trình; ② phương án bồi thường cho người gửi tiền, chưa hề được đề cập.
Lưu ý về các con số: thiệt hại 3.76 triệu USD là ước tính của The Block và Bitquery dựa trên giá trước cuộc tấn công, không phải số liệu chính thức; đừng trích dẫn như thể đó là con số của phía chính thức. Tương tự, các con số 243,000 lần, 127 giao dịch và 55.2 triệu coin đến từ dữ liệu truy vết trên chuỗi; phía chính thức chỉ xác nhận sự việc “chuyển xuyên chuỗi và bán tháo”.
5 việc độc giả nên làm lúc này
1. Nếu có tiền gửi hoặc khoản vay trên Kava Lend: hãy kiểm tra trạng thái vị thế của mình trước, chụp màn hình làm bằng chứng. Pool đã cạn, đừng gửi thêm tài sản vào đó; việc có rút được hay không, khi nào rút được thì hãy chờ báo cáo sự cố chính thức. Đừng tin những lời như “kênh nội bộ” hay “đăng ký bồi thường trước” trong các nhóm.
2. Nếu đang nắm KAVA: hãy kiểm tra thông báo từ sàn giao dịch bạn đang sử dụng. Ba sàn Hàn Quốc đã ngừng nạp/rút, các sàn khác hiện chưa có động thái thống nhất; đừng liên tục chuyển coin qua lại trên những sàn đã tạm ngừng nạp/rút, vì giao dịch có thể không thực hiện được và còn bị treo.
3. Đừng gửi tài sản sang Kava qua cầu Axelar: cầu đã tạm ngừng, tài sản gửi đi có thể bị mắc kẹt giữa chừng.
4. Trước khi phía chính thức công bố phương án bồi thường, mọi liên kết, tin nhắn riêng hay biểu mẫu về “đơn xin bồi thường” hoặc “đăng ký hoàn tiền” đều là giả mạo. Đừng nhấp vào, đừng nhập cụm từ khôi phục.
5. Đừng vội bắt đáy: nguyên nhân gốc chưa được công bố, báo cáo chưa có, phương án bồi thường chưa xác định; giá coin đã giảm một nửa chỉ trong một ngày nhưng vẫn quanh mức 0.03 USD, rủi ro chưa được giải quyết.
Nhận định của Bao Bao: Điều đáng cảnh giác nhất trong vụ tấn công này không phải là số tiền — 3.76 triệu USD không phải con số lớn so với các vụ mất cắp trong năm nay — mà là cách thức: chỉ cần một thị trường BUSD đã ngừng hoạt động nhiều năm và một điều kiện biên chỉ chặn khi nguồn cung ròng chính xác bằng 0, là có thể vay sạch hơn 55 triệu coin. Pool nhỏ, thị trường không ai dùng, chính những “góc khuất chẳng ai để ý” như vậy lại dễ xảy ra sự cố nhất. Nhận định của tôi là: trước khi có báo cáo chính thức, rủi ro của KAVA vẫn chưa được giải quyết; bắt đáy chẳng khác nào đặt cược khi thông tin chưa đầy đủ. Chờ đến khi báo cáo nêu rõ nguyên nhân gốc và phương án bồi thường rồi hãy bàn xem có đáng hay không. Tôi chỉ thay đổi nhận định khi có một trong hai điều: báo cáo chính thức nêu rõ nguyên nhân gốc và lịch trình bồi thường, hoặc pool Kava Lend khôi phục khả năng rút tiền bình thường. Ngược lại, nếu báo cáo vẫn chậm trễ, bồi thường không có thông tin cụ thể, KAVA sẽ còn phải tìm mức hỗ trợ thấp hơn.
Tiếp theo, hãy theo dõi ba việc
Thứ nhất, khi nào có báo cáo sự cố đầy đủ của Kava: xem con số thiệt hại có phải 3.76 triệu USD không, nguyên nhân gốc có phải thuật toán chỉ số lãi suất của thị trường BUSD không, người gửi tiền có được bồi thường không và tiền bồi thường đến từ đâu. Báo cáo này sẽ khép lại toàn bộ sự việc.
Thứ hai, khi nào cầu Axelar và các sàn giao dịch Hàn Quốc khôi phục nạp/rút: khi có thông báo khôi phục, điều đó cho thấy bên chính thức cho rằng rủi ro đã được kiểm soát; nếu mãi không khôi phục, vấn đề có thể nghiêm trọng hơn những gì tuyên bố nêu.
Thứ ba, giá KAVA có thể đứng lại trên mức 0.05 USD hay không: nếu không thể, điều đó cho thấy thị trường vẫn đang bỏ phiếu bằng chân; đồng thời hãy theo dõi xem lượng tài sản khóa trong Kava Lend có tiếp tục giảm hay không.
Việc nào trong ba việc này có kết quả trước, tôi sẽ đăng bài đối chiếu ngay — phần phân tích báo cáo sự cố và phương án bồi thường rất đáng theo dõi. Hãy theo dõi tôi, có báo cáo là bạn sẽ thấy ngay.
Nếu đang nắm KAVA, bạn sẽ chuyển sang tài sản khác để tránh rủi ro trước, hay chờ báo cáo sự cố chính thức rồi mới quyết định?
——Bao Bao