Поздно вечером в пятницу нативный лендинговый протокол блокчейна Kava — Kava Lend — подвергся атаке, в результате которой злоумышленник вывел около 55,2 млн KAVA. На момент атаки стоимость похищенных токенов составляла примерно $3,76 млн при цене $0,068 за монету. По данным ончейн-аналитики, пул протокола сократился с 55,33 млн KAVA до 0,19 KAVA примерно за полтора часа.
Команда Kava впервые публично отреагировала в соцсети X в 6:28 утра по восточному времени в субботу — более чем через семь часов после начала инцидента. В заявлении говорилось об «отслеживании нестандартного поведения dApp в экосистеме Kava», а через полчаса проект уточнил, что знает о переводе и продаже KAVA на BSC, и подчеркнул: «Это не бесконечная эмиссия. Событие изолировано и ограничено Kava Lend». Официальная сумма потерь и технический разбор пока не опубликованы.
Атака была проведена через почти неиспользуемый рынок стейблкоина BUSD, выпуск которого Paxos прекратил еще в 2023 году. Уязвимость была связана с отсутствием проверки на минимальный ненулевой остаток: код пропускал деление при нулевом предложении, но не учитывал чрезвычайно малые положительные значения. В 23:01 по восточному времени злоумышленник с помощью небольшого займа BUSD снизил чистый объем предложения до 0,00000002 доллара, после чего стоимость депозитов в BUSD была переоценена примерно в 243 000 раз. Внесенный заранее депозит стал учитываться как обеспечение примерно на 1,25 млрд BUSD.
Затем атакующий 127 раз занимал KAVA под завышенное обеспечение, используя второй адрес для обхода лимита протокола на заимствование KAVA. Подготовка велась как минимум с 8 ноября: фиксировались повторяющиеся циклы депозитов и займов в BUSD-рынке. Начиная с 4:59 утра по восточному времени субботы, около 49,2 млн KAVA были переведены через мост LayerZero в BNB Chain. Большая часть была продана в течение часа за 3 006,5 BNB и 231 557 USDT (около $2,09 млн), после чего BNB были выведены далее. Еще 4,58 млн KAVA ушли на пять неидентифицированных адресов в сети Kava.
На фоне инцидента цена KAVA упала примерно на 39–40% за сутки, до уровня около $0,042. Биржи Upbit, Bithumb и Coinone приостановили ввод и вывод KAVA, а Upbit также выпустил предупреждение и включил токен в список наблюдения за делистингом. Kava из предосторожности приостановила мост Axelar, хотя выведенные активы покидали сеть через LayerZero. Этот случай продолжает серию эксплойтов лендинговых протоколов: в августе сеть Cronos останавливалась после атаки на Tectonic с предполагаемым ущербом $75 млн, а в июле Bonzo Lend в Hedera потерял около $9 млн.
