Kava Lend bị hack 3,8 triệu USD, KAVA lao dốc gần 50%. Ảnh: Altcoin Buzz
Lỗ hổng từ thị trường BUSD gần như bỏ hoang
Kava Lend, giao thức cho vay thuộc hệ sinh thái blockchain Kava, vừa hứng chịu một vụ tấn công thiệt hại 55,2 triệu KAVA, trị giá 3,76 triệu USD. Kẻ tấn công đã nhanh chóng tẩu tán phần lớn chiến lợi phẩm sang BNB Chain và bán ra thị trường, thu về khoảng 2,09 triệu USD.
Theo dữ liệu on-chain được công ty phân tích Bitquery công bố, cuộc tấn công nhắm vào thị trường BUSD trên Kava Lend. Đây là một bể thanh khoản gần như không còn hoạt động, sử dụng BUSD của Binance – stablecoin đã bị Paxos ngừng phát hành từ tháng 02/2023.
Kava hack, traced on-chain. Two wallets pushed a dead BUSD pool in Kava Lend until its interest index grew 243,000x in 3 minutes. Then 127 loans drained 55.2M KAVA. The app erased each debt. The sale made $2.1M. Relay blocked $612K of it. https://t.co/oQYmeYWwsB
— Bitquery.io ( Bloxy ) (@Bitquery_io) November 14, 2026
Kẻ tấn công đã tìm ra sai sót trong công thức tính lãi của giao thức. Cụ thể, Kava Lend tính mức tăng giá trị tiền gửi dựa trên khoản lãi phát sinh chia cho nguồn cung ròng của thị trường. Mã nguồn có cơ chế ngăn phép tính khi nguồn cung bằng 0, nhưng không xử lý trường hợp mẫu số giảm xuống một giá trị cực nhỏ.
Kẻ tấn công lợi dụng điểm yếu này để đưa nguồn cung ròng của thị trường BUSD xuống chỉ còn hai đơn vị cơ sở. Trong vòng ba phút, chỉ số lãi suất của bể thanh khoản tăng vọt khoảng 243.000 lần. Khoản BUSD mà kẻ tấn công đã gửi trước đó lập tức được hệ thống ghi nhận với giá trị lên tới 1,26 tỷ BUSD, trở thành lượng tài sản thế chấp khổng lồ trên sổ sách.
Từ đó, hai ví liên kết với nhau thực hiện liên tiếp 127 vòng vay và thanh lý trong khoảng 98 phút. Một ví dùng BUSD làm tài sản thế chấp để vay KAVA, ví còn lại lập tức thanh lý khoản vay. Do lượng BUSD thực tế trong bể gần như đã bị rút hết, giao thức không thể thu hồi đủ tài sản thế chấp nhưng vẫn đóng khoản vay, giải phóng hạn mức để kẻ tấn công tiếp tục vay.
Hai ví đã vay tổng cộng khoảng 55,2 triệu KAVA nhưng chỉ hoàn trả khoảng 1,3 triệu KAVA để xử lý các khoản vay của người dùng khác. Lượng tài sản cuối cùng chúng giữ lại vào khoảng 53,9 triệu KAVA.
Hoạt động chuẩn bị đã bắt đầu từ ngày 08/11. Dữ liệu on-chain cho thấy ví liên quan liên tục thử nghiệm các giao dịch gửi, vay và rút BUSD trong những ngày trước khi tiến hành cuộc tấn công.
KAVA bị bán tháo, cầu nối Axelar phải tạm dừng
Sau khi bòn rút tài sản, kẻ tấn công chuyển khoảng 49,2 triệu KAVA sang BNB Chain thông qua cầu nối LayerZero. Một ví thứ ba tiếp nhận lượng token này và bán khoảng 48,4 triệu KAVA qua 46 giao dịch trong vòng 35 phút, thu về 3.333 BNB cùng một lượng USDT, tổng trị giá xấp xỉ 2,09 triệu USD.
Giá KAVA trên BNB Chain giảm 36% ngay trong quá trình bán tháo và tiếp tục lao dốc trong hai giờ tiếp theo, có thời điểm thấp hơn 52% so với mức giá trước khi xả hàng. Tính theo mức giá khoảng 0,068 USD trước sự cố, 55,2 triệu KAVA bị rút khỏi giao thức có giá trị khoảng 3,76 triệu USD. Tuy nhiên, số tiền kẻ tấn công thực thu thấp hơn đáng kể do áp lực bán khiến giá token sụt giảm.
Biến động giá KAVA trong 7 ngày gần nhất, ảnh chụp màn hình trên CoinGecko lúc 03:30 AM ngày 16/11/2026
Mặt khác, khoảng 612.416 USDT, tương đương 29% số tiền thu được từ vụ bán KAVA, đã bị cầu nối Relay chặn lại. Giao dịch chuyển USDT sang Ethereum để nhận ETH bị đánh dấu thất bại với lý do ví gửi nằm trong blacklist. Tính đến ngày 14/11, số tiền này chưa được hoàn trả hay giải ngân.
Trong khi đó, khoảng 1,17 triệu USD tiền thu được từ vụ bán đã được sử dụng để mua 2.190 XMR1 trên nền tảng Hyperliquid, phân bổ qua 8 tài khoản. Số tài sản này vẫn nằm trong các tài khoản tại thời điểm Bitquery ghi nhận.
Kava lần đầu lên tiếng vào ngày 14/11, hơn 7 giờ hậu sự cố bảo mật. Đội ngũ cho biết đang theo dõi những giao dịch bất thường phát sinh từ một ứng dụng phi tập trung trong hệ sinh thái và ưu tiên điều tra sự cố.
Trong thông báo tiếp theo, Kava xác nhận đã phát hiện hoạt động chuyển và bán KAVA trên BNB Chain, đồng thời nhấn mạnh đây không phải sự cố phát hành token vô hạn. Dự án đánh dấu phạm vi ảnh hưởng chỉ trong Kava Lend. Các sàn giao dịch đối tác cũng đã tạm dừng nạp và rút KAVA.
Đến tối ngày 14/11, Kava tiếp tục thông báo tạm dừng cầu nối Axelar nhằm hạn chế phát sinh thêm rủi ro. Việc rút tài sản xuyên chuỗi qua Axelar vì thế cũng bị đình chỉ.
Out of an abundance of caution, the @Axelar bridge has been paused. As a result, cross-chain asset withdrawals through the Axelar bridge are currently paused. We will share a complete incident report as soon as it is ready.
— Kava (@KAVA_CHAIN) November 14, 2026
Kava cam kết sẽ công bố báo cáo điều tra đầy đủ khi hoàn tất. Tuy nhiên, tính đến ngày 16/11, dự án vẫn chưa đưa ra báo cáo hậu kiểm, con số thiệt hại chính thức hay phương án bồi hoàn cho người dùng.
Kava Lend nối dài danh sách các giao thức cho vay DeFi gặp sự cố trong năm 2026. Trước đó, Tectonic trên Cronos cũng bị tấn công với thiệt hại ước tính 75 triệu USD vào tháng 8, buộc mạng lưới Cronos phải tạm dừng hoạt động. Tháng 7, Bonzo Finance trên Hedera cũng mất khoảng 9 triệu USD do hệ thống xác thực của Supra chấp nhận dữ liệu giá bị thao túng. Nửa đầu năm 2026 đã trở thành giai đoạn tồi tệ nhất lịch sử crypto về số lượng vụ tấn công, với tổng thiệt hại vượt 1 tỷ USD.
Coin68 tổng hợp
