Взлом Kava Lend: как украли $3,7 млн и что известно сейчас

14 ноября злоумышленники нашли ошибку в расчётах кредитного протокола Kava Lend и вывели из него около 53,9 млн KAVA. До обвала цены это было примерно $3,7 млн (DefiLlama). Большую часть токенов перевели в сеть BNB Chain и продали там, после чего KAVA за сутки подешевел более чем на 40%.

Что известно сейчас

• Kava подтвердила, что проблема ограничена Kava Lend и это «не бесконечная эмиссия» KAVA (пост Kava). Полный отчёт об инциденте команда обещает опубликовать, «как только он будет готов»; срока нет.
• Украдено около 53,9 млн KAVA, примерно $3,7 млн по цене до обвала (DefiLlama). По подсчёту Crypto Briefing и AirdropAlert, в BNB Chain ушло около 48,36 млн KAVA на $3,2⁠–⁠3,3 млн (AirdropAlert).
• Около 612 тыс. USDT из выручки злоумышленников заблокировал мост Relay (DefiLlama).
• Мост Axelar в сети Kava остановлен, выводы через него не работают (пост Kava). Upbit, Bithumb и Coinone остановили депозиты и выводы KAVA, Upbit поставил токен под наблюдение с риском делистинга (Crypto Briefing).
• Адреса злоумышленника, план компенсации и заявления компаний по безопасности блокчейна (PeckShield, CertiK, Cyvers) к моменту публикации не опубликованы.

Как это произошло

Kava Lend — кредитный рынок сети Kava: пользователи вносят активы в залог и занимают под них другие. Каждый рынок ведёт «индекс процентов» — множитель, по которому растёт депозит вкладчика.

По описанию DefiLlama, на рынке BUSD почти не осталось предложения. Индекс считается делением на объём предложения, и при крошечном знаменателе ошибка в арифметике раздула его примерно в 243 000 раз. Небольшой депозит в BUSD превратился в огромный «залог» в глазах протокола. Под него злоумышленники многократно заняли KAVA, а затем провели ликвидации так, что долг списался, а настоящего залога, который покрыл бы займы, протокол не получил. DefiLlama относит атаку к классу «арифметическая ошибка» (Arithmetic Error).

Kava пока не подтвердила этот механизм: официального разбора ещё нет.

Хроника

• 14 ноября, 13:36 МСК. Upbit приостановил депозиты и выводы KAVA, торги продолжились с предупреждением для покупателей (BlockchainReporter).
• 14 ноября, 14:28 МСК. Kava сообщила, что отслеживает «неожиданное поведение» одного из приложений в своей экосистеме и расследует его в приоритетном порядке (пост Kava).
• 14 ноября, 15:01 МСК. Kava уточнила: токены KAVA перевели в BSC и продали там, но это «не бесконечная эмиссия», инцидент ограничен Kava Lend; биржи-партнёры остановили депозиты и выводы (пост Kava).
• 14 ноября, днём. Bithumb и Coinone тоже остановили переводы KAVA (Crypto Briefing, TokenPost).
• 14 ноября, 17:05 МСК. Kava остановила мост Axelar и пообещала полный отчёт об инциденте (пост Kava).
• 14 ноября, 20:10 МСК. KAVA торговался около $0,0395, минус 41,9% за сутки; минимум дня — $0,0364 против $0,0687 накануне (BlockchainReporter).
• 14 ноября, вечер. DefiLlama внесла атаку в свою базу взломов: $3,7 млн, 53,9 млн KAVA, ошибка арифметики на рынке BUSD (DefiLlama).

Куда ушли деньги

Большую часть KAVA перевели в BNB Chain и продали на децентрализованной бирже при тонкой ликвидности (Crypto Briefing). Оценки объёма расходятся: около 48,36 млн KAVA по Crypto Briefing и AirdropAlert и 53,9 млн KAVA украдено в целом по DefiLlama. Разница может быть частью, которая не ушла через мост, но источники этого не уточняют.

Вырученные средства злоумышленники пытались увести дальше. Около 612 416 USDT остановил мост Relay (DefiLlama). Адреса кошельков и хэши транзакций Kava и расследователи пока не раскрыли.

Что сделали команда и биржи

• Kava: три поста за 14 ноября. Признала проблему, ограничила её Kava Lend, остановила мост Axelar и обещала отчёт (X). О компенсации пострадавшим пока ничего не сказано.
• Upbit: остановил депозиты и выводы, выпустил предупреждение и внёс KAVA в список наблюдения за делистингом. Сроков возобновления нет: биржа связывает его с подтверждённой стабильностью сети (BlockchainReporter).
• Bithumb и Coinone: остановили депозиты и выводы KAVA в качестве меры предосторожности (Crypto Briefing).
• Relay: заблокировал около 612 тыс. USDT (DefiLlama).

Что это значит для держателей

Пока мост Axelar стоит, вывести активы из сети Kava через него нельзя. На корейских биржах KAVA нельзя ни завести, ни вывести, хотя торги идут. Upbit поставил токен под наблюдение: если биржа сочтёт риски неустранёнными, KAVA могут исключить из листинга. Будут ли возмещены потери Kava Lend и кто их покроет, неизвестно до выхода отчёта команды. Котировки KAVA смотрите на странице монеты, первую заметку о взломе — в новостях.

Это не инвестиционный совет.

Статья дополняется: мы следим за развитием событий и добавляем новые данные. Последнее обновление — 15 ноября, 00:15 МСК.