Kava Lend verliest 55 miljoen KAVA door exploit

Wat er gebeurde

Op 14 november haalde een aanvaller circa 55,2 miljoen KAVA uit het Kava Lend-lendingprotocol. De aanvaller voerde 127 borrow-transacties uit. Volgens on-chain analyse kwam zo veel KAVA uit de pool. Dit was geen geval van het onbeperkt minten van tokens. Het was een rekenfout in de software die de waarde van onderpand veel te hoog inschatte.

De fout ontstond in een vrijwel inactieve markt voor de stablecoin BUSD. De uitgevende partij van die BUSD stopte met minten in 2023. Door de effectieve nettosupply van die markt extreem dicht bij nul te duwen, liet de berekening de waarde van gedeponeerd onderpand ongeveer 243.000 keer hoger lijken dan werkelijk.

On-chain data laat zien dat ongeveer 49,2 miljoen van de geleende KAVA via LayerZero naar de BNB Chain werden gestuurd. De daaropvolgende verkopen brachten ongeveer 2,09 miljoen dollar op in BNB en USDT. De geschatte waarde van de geleende tokens op het moment vóór de aanval was circa 3,76 miljoen dollar. Die twee bedragen verschillen omdat de koers hard daalde tijdens het handelen.

Kava zegt dat het geen infinite-mint-issue betrof en dat het probleem was beperkt tot Kava Lend. Het project nam voorzorgsmaatregelen rond bridging en sommige handelsplatforms beperkten KAVA-transfers. Een volledig officieel post-mortem en herstelplan was op het moment van schrijven nog niet gepubliceerd.

Nieuwsartikelen en analisten wijzen erop dat duidelijkheid nodig is over wie het verlies draagt, of markten nog beschadigd zijn en welke codewijzigingen worden voorgesteld en onafhankelijk zijn beoordeeld. Zij waarschuwen dat audits alleen niet het specifieke randgeval uitleggen dat faalde.

Waarom dit telt

Voor beleggers toont dit incident dat ook ogenschijnlijk vergeten of inactieve markten een groot risico kunnen vormen voor DeFi-lenders. Wie tokens uitleent of aanhoudt kan blootstelling hebben aan elk ondersteund onderpand, ook als men dat zelf nooit gebruikt.