Kava Lend взломали примерно на $3,8 млн, токен KAVA упал почти на 40%

Kava Lend, кредитное приложение, встроенное в блокчейн Kava, в пятницу вечером лишилось примерно 55,2 млн токенов KAVA, следует из ончейн-данных, которые изучило издание The Block. По цене до атаки, около $0,068 за токен, они стоили примерно $3,76 млн.

Затем злоумышленник перевел большую часть монет в другую сеть и продал их, из-за чего KAVA резко подешевел. На Kraken KAVA упал примерно с $0,068 до минимума $0,0344 в субботу утром, то есть почти на 50% в худший момент, а к вечеру субботы торговался около $0,043, показывает проверка PlainBTC по открытым данным о ценах Kraken.

Как была устроена атака

Kava Lend работает как простой онлайн-банк для криптовалют: одни пользователи вносят токены и получают проценты, другие берут займы под эти депозиты. Слабым местом оказался рынок BUSD, стейблкоина, который эмитент Paxos перестал выпускать в 2023 году. Перед атакой этот рынок был почти пуст.

Как выяснило The Block, изучив открытый код Kava, приложение рассчитывает проценты вкладчиков, деля платежи заемщиков на общий объем предложения на рынке. Код пропускал этот шаг, только если предложение было ровно нулевым, но не защищался от крошечной суммы чуть выше нуля.

Около 10 часов вечера в пятницу по центральному времени США злоумышленник с помощью небольшого займа сократил предложение на рынке BUSD до двух стомиллионных долей доллара. За три минуты протокол увеличил стоимость каждого депозита в BUSD примерно в 243 000 раз. Собственный депозит злоумышленника в BUSD внезапно стал считаться залогом примерно на 1,25 млрд BUSD.

Затем злоумышленник 127 раз занял KAVA под этот фиктивный залог, используя второй аккаунт, чтобы обойти лимит на займы. Пул Kava Lend сократился примерно с 55,33 млн KAVA до 0,19 KAVA чуть более чем за полтора часа. По данным The Block, злоумышленник, судя по всему, готовился не меньше недели и с 8 ноября проводил на рынке BUSD пробные депозиты и займы.

Токены продали в BNB Chain

Незадолго до 4 часов утра в субботу по центральному времени злоумышленник отправил около 49,2 млн KAVA в BNB Chain через мост LayerZero от Kava. Большую часть он продал меньше чем за час примерно за 3006,5 BNB и 231 557 USDT, в сумме около $2,09 млн. Еще 4,58 млн KAVA ушли на пять адресов в сети Kava.

DeFiLlama, который отслеживает взломы в криптоиндустрии, классифицировал инцидент как арифметическую ошибку и оценил ущерб примерно в $3,7 млн. Там также сообщили, что около 612 416 USDT из добычи заблокировали на мосту Relay.

Что говорят в Kava

Впервые в X команда Kava сообщила, что отслеживает «неожиданное поведение, исходящее от dApp», около 5:28 утра в субботу по центральному времени, более чем через семь часов после начала атаки. В следующем посте говорилось: «Это не бесконечная эмиссия. Событие изолировано и ограничено Kava Lend». Команда добавила, что биржи-партнеры приостановили ввод и вывод KAVA «в качестве стандартной меры предосторожности», а позже Kava остановила свой мост Axelar. Южнокорейские биржи Upbit, Bithumb и Coinone приостановили переводы KAVA, сообщил CryptoWatchDesk.

Kava не назвала официальную сумму ущерба, не сообщила, компенсируют ли потери пользователям Kava Lend, и не опубликовала полный отчет об инциденте. По словам команды, он выйдет, «как только будет готов».

Что это значит для новичков

Такие взломы обычно затрагивают небольшие приложения децентрализованных финансов (DeFi), где деньгами управляет код и за ним не стоит страховка компании. Если вы только начинаете, храните большую часть криптовалюты на крупной регулируемой бирже, например Coinbase, или в кошельке, который контролируете сами, и осторожно относитесь к кредитным приложениям, обещающим повышенную доходность. Игнорируйте любые ссылки на «возврат средств» или «восстановление» после взлома: мошенники часто пользуются громкими инцидентами. Это не инвестиционная рекомендация.

За чем следить дальше

• Полный отчет Kava и решение о компенсации пострадавшим пользователям.
• Когда биржи и мост Axelar возобновят переводы KAVA.
• Удастся ли заморозить или вернуть часть украденных средств.

Не знаете, где хранить монеты? Прочитайте, что такое криптокошелек: кастодиальный или некастодиальный.