Эксплойт Kava Lend вывел 55 млн KAVA из-за бага учета BUSD

3 мин

Эксплойт в Kava Lend вывел около 55 миллионов KAVA, воспользовавшись пограничным случаем в бухгалтерском учёте на почти пустом рынке BUSD. Бесконечной эмиссии не было. Анализ ончейн указывает, что протокол завысил стоимость залога, когда эффективное чистое предложение на рынке приблизилось к нулю, что позволило повторно брать займы. Инцидент и падение цены KAVA произошли 14 ноября. Команда заявила, что проблема была локализована в Kava Lend. Полный постмортем или план восстановления опубликованы не были.

Почти пустой рынок BUSD стал слабым звеном

Согласно сообщению The Block, атакующий нацелился на рынок BUSD в Kava Lend, который был в значительной степени неактивен после прекращения выпуска BUSD в 2023 году. Сведя эффективное чистое предложение почти к нулю, злоумышленник вызвал расчёт, который увеличил учётные депозитные значения примерно в 243 000 раз. ПО неверно оценило залог, из‑за чего были нарушены лимиты заимствования, зависящие от корректных оценок.

Займы и бриджинг усилили ущерб

Злоумышленник совершил 127 транзакций по заимствованию KAVA, выведя около 55,2 миллиона токенов. По цене до атаки это составляло приблизительно $3,76 миллиона. Около 49,2 миллиона KAVA были переброшены в BNB Chain через LayerZero и проданы примерно за $2,09 миллиона в BNB и USDT, согласно опубликованному ончейн-анализу. Предварительная оценка до атаки, фактически полученные средства, убытки кредиторов и суммы, подлежащие возмещению, различаются. Окончательная отчётность зависит от инцидент-репорта протокола.

Реакция команды и открытые вопросы

Kava заявила, что это был не случай бесконечной эмиссии и что инцидент был изолирован в пределах Kava Lend. Команда ввела превентивные меры, затрагивающие бриджинг, а некоторые площадки ограничили переводы KAVA. Эти шаги могут ограничить дальнейший ущерб, но не восстанавливают балансы вкладчиков и не объясняют пропущенный пограничный случай. Необходимые разъяснения: кто понесёт убыток, остался ли какой‑либо рынок в нарушенном состоянии, какие изменения в коде предлагаются и прошла ли исправленная версия независимую проверку.

Постоянный учётный риск в DeFi

Кредитные протоколы опираются на соотношения залога, процентные индексы, ликвидность и цены оракулов. Как показано в материалах NewsBTC о治理 Aave и об институциональном интересе к кредитной инфраструктуре, риск и экономический дизайн требуют постоянного управления. Случай Kava показывает, что неактивные или забытые рынки могут стать критическими точками отказа. Вкладчики в мультиактивном кредитном протоколе подвержены рискам всех поддерживаемых залоговых рынков, а не только активов, которыми они пользуются.

Написано редакцией News Desk, редактор — Samuel Rae.