Протокол кредитования Kava Lend на блокчейне Kava подвергся эксплойту: злоумышленник вывел около 55,2 млн токенов KAVA. По данным on-chain, проанализированным изданием The Block, на момент атаки стоимость похищенных токенов составляла около 3,76 млн долларов. Команда Kava заявила, что инцидент ограничен протоколом Kava Lend и не связан с неограниченным выпуском токенов. На момент публикации официальной оценки потерь и полного технического отчёта команда ещё не предоставила.
Уязвимость через неактивный рынок BUSD
Согласно реконструкции The Block, основанной на on-chain данных, точкой входа стал рынок BUSD в Kava Lend, связанный со стейблкоином, эмиссию которого Paxos прекратила в 2023 году. Атакующий предположительно манипулировал стоимостью депозитов на этом рынке и брал KAVA в долг под искусственно завышенное обеспечение. Операция повторялась 127 раз, обходя установленные протоколом лимиты заимствования.
Часть токенов была переведена в сеть BNB Chain через LayerZero и продана. По данным издания, около 49,2 млн KAVA было переброшено через мост и обменяно примерно на 2,1 млн долларов в BNB и USDT. Это реконструкция на основе публичных on-chain данных: окончательный объём потерь и полный маршрут средств должны быть подтверждены официальным отчётом команды.
Токен KAVA рухнул почти на 40%
По данным The Block, цена KAVA упала почти на 40% после атаки. Снижение отражает реакцию рынка на инцидент, однако само по себе не позволяет оценить реальные потери протокола или возможный ущерб для отдельных вкладчиков.
Этот случай наглядно демонстрирует риски децентрализованных кредитных протоколов, которые сохраняют активными малоиспользуемые рынки или рынки, привязанные к фактически устаревшим активам. Безопасность системы во многом зависит от того, как протокол рассчитывает проценты, обеспечение и лимиты займов: уязвимость в логике одного рынка способна затронуть все активы, размещённые в той же системе.
Команда Kava охарактеризовала инцидент как локализованный внутри Kava Lend и исключила сценарий «бесконечного минтинга». Тем не менее остаётся открытым вопрос: каким образом стало возможным искусственное завышение стоимости депозитов и затронуты ли другие средства пользователей. Первоочередная задача для команды сейчас, как это ни очевидно, состоит в публикации технического анализа, точной оценке потерь и объяснении того, какие меры будут приняты, чтобы исключить повторение подобной уязвимости.
