Kava Lendがハッキングで約380万ドル流出、KAVAトークンは40%近く下落

Kavaブロックチェーンに組み込まれたレンディングアプリ「Kava Lend」が金曜夜、攻撃者により約5520万KAVAを奪われた。The Blockが確認したオンチェーンデータによる。攻撃前の価格（1トークン約0.068ドル）で約376万ドル相当だった。

攻撃者はその後、大半のコインを別のネットワークに移して売却し、KAVAは急落した。PlainBTCがKrakenの公開価格データを確認したところ、KAVAはKrakenで約0.068ドルから土曜朝に0.0344ドルの安値まで下げ、最悪時には50%近い下落となった。土曜夕方には約0.043ドルで取引されていた。

攻撃の仕組み

Kava Lendは暗号資産のシンプルなオンライン銀行のような仕組みだ。利用者がトークンを預けて利息を得て、ほかの利用者がその預け入れを元手に借り入れる。弱点となったのはBUSD市場で、BUSDは発行元のPaxosが2023年に新規発行を停止したステーブルコインだ。この市場は攻撃前、ほぼ空だった。

The BlockがKavaの公開コードを調べたところ、このアプリは借り手が支払う利息を市場の総供給量で割って預け手の利息を計算している。コードは供給量がちょうどゼロの場合だけこの計算を省いていたが、ゼロをわずかに上回る極小の値への備えがなかった。

米中部時間の金曜午後10時ごろ、攻撃者は少額の借り入れを使ってBUSD市場の供給量を1ドルの1億分の2まで減らした。プロトコルは3分以内に、すべてのBUSD預け入れの価値を約24万3000倍に膨らませた。攻撃者自身のBUSD預け入れは、突然約12億5000万BUSD分の担保として扱われるようになった。

攻撃者はこの偽の担保を元に127回にわたってKAVAを借り入れ、借入上限を回避するために2つ目のアカウントを使った。Kava Lendのプールは、1時間半あまりで約5533万KAVAから0.19KAVAに減った。The Blockによると、攻撃者は少なくとも1週間前から準備していたとみられ、11月8日からBUSD市場で預け入れと借り入れのテストを繰り返していた。

BNBチェーンで売却

攻撃者は中部時間の土曜午前4時少し前から、KavaのLayerZeroブリッジ経由で約4920万KAVAをBNBチェーンに送った。大半は1時間以内に約3006.5BNBと23万1557USDTに換えられ、合計で約209万ドル相当となった。残る約458万KAVAはKava上の5つのアドレスに送られた。

暗号資産のハッキングを追跡するDeFiLlamaは、今回の事案を算術エラーに分類し、損失を約370万ドルと推計した。また、奪われた資金のうち約61万2416USDTがRelayブリッジで凍結されたと報告している。

Kavaの説明

Kavaは中部時間の土曜午前5時28分ごろ、「エコシステム内のdAppに起因する想定外の挙動」を追跡しているとXで初めて公表した。攻撃開始から7時間以上たってからのことだった。続く投稿では「これは無限ミントではない。事案は隔離され、Kava Lend内に封じ込められている」と述べた。提携取引所が「標準的な予防措置として」KAVAの入出金を停止したとし、その後Axelarブリッジも一時停止した。CryptoWatchDeskによると、韓国の取引所Upbit、Bithumb、CoinoneもKAVAの送金を停止した。

Kavaは公式な損失額を示しておらず、Kava Lendの利用者に補償するかどうかも明らかにしていない。完全な事故報告書も未公表で、「準備ができ次第」公開するとしている。

初心者にとっての意味

このようなハッキングは、コードが資金を管理し、背後に企業の保険がない小規模な分散型金融（DeFi）アプリで起きることが多い。初心者なら、暗号資産の大半をCoinbaseのような規制下にある大手取引所か、自分で管理するウォレットに置き、追加の利回りをうたうレンディングアプリには注意しよう。ハッキングの後に出回る「返金」や「資金回復」のリンクは無視すること。大きな事案の後には詐欺師が便乗しやすい。これは投資助言ではない。

今後の注目点

• Kavaの完全な事故報告書と、被害を受けた利用者への補償の有無。
• 取引所とAxelarブリッジがKAVAの送金をいつ再開するか。
• 盗まれた資金の一部が凍結または返還されるかどうか。

コインをどこで保管すべきか迷っている方は、暗号資産ウォレットとは：カストディ型とセルフカストディ型の違いをお読みください。