Kava Lend verliest 55 miljoen KAVA door exploit

Kava Lend verloor ongeveer 55 miljoen KAVA door een exploit. De aanval legde een kwetsbaarheid in DeFi-kollaterale boekhouding bloot.

Wat er gebeurde

Op 14 november haalde een aanvaller circa 55,2 miljoen KAVA uit het Kava Lend-lendingprotocol. De aanvaller voerde 127 borrow-transacties uit. Volgens on-chain analyse kwam zo veel KAVA uit de pool. Dit was geen geval van het onbeperkt minten van tokens. Het was een rekenfout in de software die de waarde van onderpand veel te hoog inschatte.

De fout ontstond in een vrijwel inactieve markt voor de stablecoin BUSD. De uitgevende partij van die BUSD stopte met minten in 2023. Door de effectieve nettosupply van die markt extreem dicht bij nul te duwen, liet de berekening de waarde van gedeponeerd onderpand ongeveer 243.000 keer hoger lijken dan werkelijk.

On-chain data laat zien dat ongeveer 49,2 miljoen van de geleende KAVA via LayerZero naar de BNB Chain werden gestuurd. De daaropvolgende verkopen brachten ongeveer 2,09 miljoen dollar op in BNB en USDT. De geschatte waarde van de geleende tokens op het moment vóór de aanval was circa 3,76 miljoen dollar. Die twee bedragen verschillen omdat de koers hard daalde tijdens het handelen.

Kava zegt dat het geen infinite-mint-issue betrof en dat het probleem was beperkt tot Kava Lend. Het project nam voorzorgsmaatregelen rond bridging en sommige handelsplatforms beperkten KAVA-transfers. Een volledig officieel post-mortem en herstelplan was op het moment van schrijven nog niet gepubliceerd.

Nieuwsartikelen en analisten wijzen erop dat duidelijkheid nodig is over wie het verlies draagt, of markten nog beschadigd zijn en welke codewijzigingen worden voorgesteld en onafhankelijk zijn beoordeeld. Zij waarschuwen dat audits alleen niet het specifieke randgeval uitleggen dat faalde.