Kava Lend借贷池遭攻击：一夜之间资金几近被清空

在2026年11月14日凌晨，一名攻击者几乎将Kava Lend借贷池中的资金洗劫一空。根据The Block的链上分析，攻击者借出了约5520万枚KAVA，按攻击发生前的价格计算，价值约为380万美元。这一行为之所以得逞，是因为稳定币BUSD的市场极少有人使用，代码中的计算错误导致存款估值被放大了约243,000倍。

KAVA代币在一天内跌幅超过40%，韩国三大交易所随即暂停了该代币的充值和提现业务。如果您持有KAVA或在Kava Lend中有资金，目前有两点最为关键：项目方表示没有铸造新代币，但借贷池的存款人面临资金缺口。截至周日下午，官方损失报告尚未发布。

事件经过详解

Kava是一个结合了以太坊和Cosmos生态系统技术的Layer-1区块链。KAVA代币用于质押、支付交易费用以及参与网络治理投票。Kava Lend是该链上的内置借贷协议。借贷协议是一种应用程序，用户在其中存入加密资产赚取利息，而其他用户则提供抵押品以借入资产。

此次攻击正是针对该协议进行的。据The Block分析，攻击者在人为夸大自身存款后，从池中借走了约5520万枚KAVA。数据提供商Bitquery在其独立分析中也得出了相同的总额，Cryptonews对此进行了报道。在偿还其他贷款后，涉及的两个钱包保留了5390万枚KAVA，按抛售前的价格计算，价值约为370万美元。因此，370万至380万美元的范围描述的是被盗代币在崩盘前的价值，而非攻击者的实际获利。

Kava已在X平台确认了这一事件。@KAVA_CHAIN账号发布帖子称：“这不是无限铸币。该事件是孤立的，且仅限于Kava Lend内部。”团队表示，一旦完成调查，将发布完整的事件报告。

BUSD市场作为切入点：利息漏洞如何放大存款

BUSD是一种与美元挂钩的稳定币，其发行商Paxos自2023年起已停止铸造。因此，Kava Lend中的BUSD市场几乎处于空置状态，而这恰恰成为了问题所在。

Kava Lend将借款人支付的利息分配给存款人。为此，代码会将新产生的利息除以市场的净供应量（即现金加未偿还贷款减准备金）。据The Block分析，公开可见的代码在分母恰好为零时跳过了除法运算。然而，当分母为一个极小的正值时，计算仍在继续。攻击者利用一笔小额贷款，将BUSD市场的净供应量推高至略高于零的水平。结果，每笔BUSD存款突然被视为具有原值约243,000倍的估值。

凭借这种虚高的抵押品，攻击者反复借出KAVA。Bitquery描述了攻击的第二部分：一个辅助钱包借出KAVA，随后即使几乎没有BUSD来覆盖这些贷款，这些贷款也被清算。这为再次借出KAVA腾出了额度上限空间，该序列重复执行了127次。

专家将此称为“漏洞利用”（Exploit）：攻击者利用代码中的弱点，无需窃取密码或入侵服务器即可获利。形式上，每一笔交易都遵循智能合约的规则，但这些规则共同作用产生了一个无人预期的结果。

LayerZero桥接至BNB Chain：被盗KAVA的去向

攻击发生后，攻击者将大部分赃款转移到了另一条区块链。约4920万枚KAVA通过LayerZero桥接转移到了BNB Chain。桥接服务用于在不同区块链之间转移代币。在那里，攻击者以约210万美元的价格出售了大部分资产，进一步对价格造成了压力。

Kava随后暂停了Axelar桥接的提现功能作为预防措施。这与赃款实际离开的桥接不同。对用户而言，这意味着任何希望将KAVA或其他代币通过Axelar移出Kava的人，都必须等待团队重新开放桥接。

漏洞利用后的KAVA价格：七天内下跌48%

价格反应剧烈。据Cryptonews引用的CoinGecko数据，KAVA在11月14日从约0.068美元跌至0.0362美元，24小时内跌幅达46.6%。截至11月15日周日下午，据CoinPaprika数据显示，KAVA交易价格为0.0353美元。七天内累计损失约48%，而过去24小时价格波动不大。目前市值仅为约3800万美元，使KAVA在最大加密货币中排名第385位。

此次暴跌发生在一周本就疲弱的市场中。比特币和以太坊近日大幅下跌，我们此前已单独整理了本周加密市场崩盘的概览。然而，KAVA的大部分损失显然归因于此次漏洞利用以及在BNB Chain上的抛售。

Upbit、Bithumb和Coinone：交易所暂停KAVA转账

韩国三大交易所在11月14日做出了反应。Upbit暂停了KAVA的充值和提现，标记该代币存在高波动性警告，并将其列入可能的退市观察名单。Bithumb和Coinone也暂停了转账。Bithumb在暂停期间仍保持交易开放，而Coinone表示其他服务不受影响。在同一周末，Coinone还处理了其支持提供商的数据泄露事件。

暂停转账旨在保护客户免受情况不明的代币充值风险。但这同时也意味着，持有在这些交易所中KAVA的用户暂时无法提现，最多只能在那里卖出。

如何在DeFi借贷协议中防范漏洞利用

发生了什么：

2026年11月14日凌晨，攻击者利用Kava Lend中几乎空置的BUSD市场的计算错误，借出了约5520万枚KAVA，按攻击前价格计算约合380万美元（据The Block）。在通过LayerZero桥接转移约4920万枚KAVA后，攻击者在BNB Chain上以约210万美元的价格将其出售（截至11月15日）。

您是否受到影响？

主要受影响的是在Kava Lend中借出KAVA的存款人。据Bitquery称，截至11月14日，该池欠存款人约5520万枚KAVA，但仅持有0.19枚KAVA。如果您仅在自有钱包或交易所持有KAVA，并未在攻击中丢失代币，但承受了价格损失。Kava尚未说明是否会以及如何补偿存款人。

不要存入新的BUSD：

Bitquery警告称，攻击者虚高的BUSD索赔仍然存在，新的BUSD存入Kava Lend可能会被他们提取。在事件报告发布之前，请勿在此处存入任何资金。

仅通过官方渠道：

警惕冒充Kava名义的虚假“退款门户”和私信。仅通过项目的官方网站及其经过验证的X账户阅读关于补偿的信息。

撤销授权：

如果您在BNB Chain或使用其他借贷服务时使用了相同的EVM钱包，请使用Revoke.cash等授权检查器检查开放的代币授权，并撤销不再需要的授权。

不要向未知地址转账：

在Upbit、Bithumb或Coinone暂停转账期间，不要向其发送KAVA；在Kava重新开放Axelar桥接之前，也不要通过该桥接进行转账。

分离钱包：

设置一个专门的小额钱包用于DeFi借贷，并将大部分硬币存放在从不连接借贷合约的硬件钱包中。

KAVA在德国：自Bitvavo下架以来交易场所寥寥无几

对于德国投资者来说，KAVA的交易难度已持续数周。拥有MiCA牌照的大型欧洲交易所之一Bitvavo已于9月18日将其产品列表中的KAVA移除。如今，想要买卖KAVA的人往往不得不转向欧盟监管之外的交易所。

特别是在发生此类事件后，牌照的价值凸显出来。拥有MiCA牌照的交易所必须将客户资金分开保管，并接受欧盟当局（在德国为BaFin）的监督。我们的受监管加密货币交易所比较显示哪些提供商拥有此牌照。然而，交易所牌照并不能防止借贷协议中的漏洞：Kava Lend是一项去中心化服务，不像银行那样有存款保险。

DeFi借贷风险：为何几乎空置的市场如此危险

Kava Lend案例遵循了去中心化借贷协议中反复出现的模式。一个几乎无人使用的市场在技术上仍然开放。由于其中资金很少，即使是小额资金也足以改变净供应等指标。如果代码在这样的节点上没有干净地计算，边缘市场就会变成整个池子的杠杆支点。

对于存款人来说，风险不仅在于你借出的币种，还在于包含所有市场的整个协议。据Bitquery称，BUSD市场中的一个单一漏洞就足以耗尽其他用户的KAVA存款。对于中心化提供商，风险则位于其他地方，例如公司的托管。我们的加密借贷比较展示了现有的借贷选项及其如何处理利息和抵押品。

以下三个问题有助于评估任何借贷协议：有多少个市场，死市场是否已关闭？代码是否有最近的安全审查（审计）？是否存在覆盖存款人损失的储备基金？如果其中一个答案缺失，选择较小的金额更为谨慎。

Kava事件报告：悬而未决的问题

截至周日下午，Kava既未公布官方损失数字，也未公布根本原因分析。最重要的是，尚不清楚Kava Lend存款人是否会获得补偿，以及资金来源何处。Axelar桥何时重新开放，以及故障的BUSD市场是否会被关闭或代码是否会被更改，目前也不清楚。

对于韩国交易所而言，恢复转账完全取决于这份报告。Upbit已将KAVA列入观察名单；若因此导致退市，将是失去最重要的剩余交易场所之一。如果您持有KAVA，请在重组头寸前等待报告，不要让双向的价格波动迫使您做出决定。

总结：无事件报告，损害程度仍不明朗

约380万美元的攻击规模在Kava Lend并非重大黑客事件，但对于池子中的存款人来说却是沉重打击。在Kava公布公布的报告之前，建议采取以下三步措施：

检查您的资金存放位置，并将借贷余额与长期持仓分开。如果您希望继续在加密资产上赚取利息，请在存入前比较提供商、抵押品和责任条款。我们的加密借贷比较可以提供帮助。

尽可能通过拥有欧盟牌照的交易所交易KAVA及其他代币。（截至2026年11月15日。本文不构成投资建议。价格和费用结构会发生变化；购买前请与提供商核实条款。）