KAVA因Kava Lend遭受370万美元漏洞攻击暴跌近50%
11月14日，KAVA价格大幅下挫，跌幅接近50%。此前，攻击者利用Kava Lend协议中的安全漏洞，从借贷协议中抽走了约5520万枚代币，并将大部分资产转移至BNB Chain进行抛售。在攻击发生前，被盗代币价值约为376万美元，但随后的抛售行为导致实际获利远低于此数值。随着数百万枚代币在短时间内涌入市场，KAVA在BNB Chain上的盘中最低点损失了约一半的价值。
休眠的BUSD市场被用于耗尽KAVA储备
此次攻击主要针对一个长期不活跃的BUSD借贷市场。攻击者通过操纵协议的利息计算机制，人为 inflated（虚增）了其抵押品价值。该漏洞使得在有效供应量被缩减至极小正值后的短短三分钟内，市场的供应利息指数暴涨了约24.3万倍。
一笔仅值数千美元的BUSD存款，因此被显示为约12.6亿BUSD的抵押品，从而产生了缺乏实际资产支持的巨额借贷能力。随后，攻击者在约98分钟内执行了127笔KAVA贷款，并通过反复清算头寸来清除未偿还债务，而未交出足够的抵押品。这一过程绕过了协议的借贷限制，使得攻击者得以借出约5520万枚KAVA。在扣除其他用户贷款的还款后，攻击者控制的钱包最终保留了约5390万枚代币。
链上调查追踪资金流向与交易所应对措施
链上调查显示，约有4920万枚KAVA通过LayerZero跨链桥转移至BNB Chain，其中4840万枚在35分钟内以约209万美元的价格售出。抛售行为导致KAVA在初始清算期间下跌36%，而在抛售开始两小时后，BNB Chain上的损失幅度达到约52%。此外，另一笔价值612,416美元的USDT在尝试通过Relay转账时被拦截，由于钱包限制，该交易被跨链桥拒绝，致使资金在调查时未能完成兑付。
随着事态发展，韩国加密货币交易所Upbit、Bithumb和Coinone暂停了KAVA的存取款服务。Bithumb于11月14日停止转账，而Coinone也采取了类似措施，出于安全考虑及验证网络稳定性的需要，在服务恢复前暂停相关业务。Kava官方也暂停了通过Axelar桥的提现服务。这一预防性措施影响了通过Axelar进行的跨链转账，尽管被盗代币已通过LayerZero转出。
事件背景与后续进展
Kava确认此次安全事件仅限于Kava Lend协议，排除了无限铸造新代币的可能性。底层区块链仍正常运行，但合作伙伴交易所出于谨慎起见暂停了存取款服务。此次攻击手法与近期其他借贷协议的安全事故相似，例如7月Bonzo Lend因Hedera上的定价预言机被操纵而损失约905万美元，以及8月Cronos上的Tectonic漏洞涉及虚增TONIC抵押品价值以借出大量高流动性资产等案例。
目前，Kava尚未公布针对受影响贷方的赔偿计划，也未提供恢复Axelar提现服务的具体时间表。团队仍在继续进行调查，并承诺发布完整的事故报告。
