Kava Lend 遭利用漏洞，约 5,520 万枚 KAVA 代币被盗
2026 年 11 月 14 日，Kava Lend 协议遭遇攻击，导致约 5,520 万枚 KAVA 代币被盗。攻击者操纵了一个几乎处于休眠状态的稳定币借贷市场的会计系统，通过人为夸大抵押品价值进行借款。在攻击发生前，这些代币的价值约为 376 万美元；而随后的抛售行为产生了约 209 万美元的收益。区块链分析公司 Bitquery 将此次操作追溯至两个钱包地址，它们利用了 Kava Lend 的 BUSD 市场，将其供应利息指数放大约 243,000 倍，随后通过 127 笔贷款提取了 KAVA。Bitquery 还发现，有 612,416 枚疑似赃款的 USDT 被 Relay 桥接协议拦截，尽管目前尚未确认资金已追回。
Kava 团队于周六承认了这一事件，表示该问题仅限于 Kava Lend 借贷应用，不涉及新代币的创建。目前，团队尚未发布最终的损失估算或全面的事故报告。
休眠的 BUSD 市场如何成为攻击突破口？
此次漏洞源于 Kava Lend 对 Binance USD (BUSD) 的市场支持。BUSD 是一种由 Paxos 发行的稳定币，Paxos 已于 2023 年 2 月停止铸造该代币。尽管市场上几乎没有可用流动性，但该市场仍保持运营状态。根据 Bitquery 在 11 月 14 日的调查，攻击者将市场的有效供应量操纵至极低的两个基础单位，相当于约 0.00000002 美元。
Kava Lend 的利息计算方式是将累计利息除以市场的有效供应量。其代码包含防止除以零的保护机制，但未充分处理极小的正数分母。因此，少量的累计利息导致了供应指数的异常飙升。短短三分钟内，该指数从约 2.76 飙升至 671,187，使存款的记录价值放大了约 243,000 倍。由于缺乏相应的资产支撑，攻击者的 BUSD 抵押品被估值为约 12.6 亿美元。随后，第二个钱包地址利用这一被夸大的抵押品反复借出 KAVA。
攻击者操纵了清算和抵押品提取流程，使得贷款能够在未收回足够资产的情况下关闭，从而有效地规避了协议的借款限制。Bitquery 识别出在约 98 分钟内发生了 127 笔借款交易。其重建数据显示，这两个钱包地址总共提取了 5,520 万枚 KAVA，在与其它借款人的交易后，净保留了约 5,390 万枚。
投资者启示
此次攻击无需操纵 KAVA 的外部市场价格即可获取贷款。内部利息会计系统的缺陷创造了虚假的抵押品价值，这展示了休眠的借贷市场如何暴露存放在同一协议其他地方的资产风险。
被盗的 KAVA 去了哪里？
自周六凌晨开始，约 4,920 万枚 KAVA 通过 LayerZero 转移到了 BNB Chain。大多数桥接代币随后被兑换为约 3,006.5 枚 BNB 和 231,557 枚 USDT，产生约 209 万美元的收益。区分被盗代币的攻击前估值与实际出售收益至关重要。376 万美元的估算是基于事件发生前 KAVA 约 0.068 美元的价格，而非攻击者实际获得的金额。
Bitquery 的调查追踪到其中 117 万美元的收益流向了 Hyperliquid 上的约 2,190 个 XMR1 代币账户（分布在八个账户中）。其分析还发现，Relay 拦截了 612,416 枚 USDT，交易标记为“BLOCKED_WALLET”（被阻止的钱包）。这笔金额约占报告出售收益的 29%。该限制措施阻止了特定转账的完成，但这并不意味着资金已归还给 Kava Lend 或影响存款人。另有部分 KAVA 被转移到 Kava 网络上的其他地址，控制这些钱包的人员身份尚不明确。
投资者启示
Relay 拦截的 612,416 美元可能是一个重要的追回线索，但被拦截的资金不应被视为已回收资产。最终可回收的金额将取决于托管情况、对所识别地址的控制权以及任何后续的执法或追回行动。
为何交易所暂停转账导致 KAVA 价格下跌？
随着被盗代币进入二级市场，KAVA 价格大幅下跌。在初始报告期间，该代币价格下跌约 39%，至 0.042 美元，后续市场数据显示跌幅接近 50%。韩国交易所 Upbit、Bithumb 和 Coinone 在评估事件期间暂停了 KAVA 的存取款服务，Upbit 还发布了交易警告通知。此外，Kava 出于预防目的暂停了其 Axelar 桥接功能，尽管据报道攻击者使用的是 LayerZero 而非 Axelar。这一区别很重要，因为桥接限制是对事件的响应，而非 Axelar 桥接本身被攻破的证据。Kava 表示该事件仅局限于其借贷应用，但这并未确立存款人损失的最终规模，也未说明是否所有受影响用户都将获得赔偿。
该事件与其他 DeFi 借贷漏洞相比如何？
Kava 事件紧随 2026 年几起涉及人为夸大抵押品估值的攻击之后，尽管底层技术故障有所不同。8 月，Tectonic 遭受估计价值 7,750 万美元的损失，原因是攻击者操纵了 TONIC 抵押品的价格；Cronos 验证者为此暂停了区块链以防止更多资产转移。同月初，Moonwell 在 Base 网络上遭受估计价值 870 万美元的损失，涉及被操纵的 MAMO 抵押品。7 月，Bonzo Lend 报告称因外部预言机验证失败导致约 900 万美元损失，使其能够操纵抵押品价格。
与这些事件不同，Kava Lend 的明显故障集中在内部利息指数和清算会计上，而非外部操纵的代币价格或预言机数据。当前的当务之急是确定协议的剩余负债，建立受影响的市場是否可以安全运行，并确定可以追回多少提取的资产。
投资者启示
对于 DeFi 借贷平台而言，此事件表明，当底层会计系统产生虚假数值时，借款限额和抵押品比率无法防止损失。Kava 最终的事故复盘报告及任何存款人补偿计划，比初始的代币价格反应更能揭示该协议的财务状况。
