مهاجمی شب جمعه ۱۳ نوامبر ۲۰۲۶ حدود ۵۵٫۲ میلیون توکن KAVA را از Kava Lend خارج کرد. کاوا لند پروتکل وام‌دهی بومی شبکه کاواست و ارزش توکن‌های برداشته‌شده با قیمت پیش از حمله، یعنی ۰٫۰۶۸ دلار، حدود ۳٫۷۶ میلیون دلار بود. پروتکل وام‌دهی برنامه‌ای روی بلاکچین است که بدون واسطه وام می‌دهد و شرح آن در درس وام‌دهی کریپتو آمده است.
خطای محاسبه در بازار تقریبا خالی BUSD
حمله در بازار BUSD کاوا لند انجام شد که تقریبا خالی بود. BUSD استیبل کوین بایننس است که شرکت Paxos از ۲۰۲۳ ضرب آن را متوقف کرده است. کاوا لند سود سپرده‌گذاران را با تقسیم بهره وام‌گیرندگان بر کل سپرده خالص بازار حساب می‌کند. کد این پروتکل فقط وقتی محاسبه را کنار می‌گذارد که سپرده دقیقا صفر باشد و برای سپرده بسیار کوچک هم محاسبه را انجام می‌دهد.
مهاجم ساعت ۲۳:۰۱ به وقت شرق آمریکا با یک وام کوچک BUSD سپرده خالص را به حدود ۰٫۰۰۰۰۰۰۲ دلار رساند. در کمتر از سه دقیقه ارزش هر سپرده BUSD حدود ۲۴۳ هزار برابر شد و سپرده قبلی مهاجم حدود ۱٫۲۵ میلیارد BUSD وثیقه حساب شد. او سپس ۱۲۷ بار با این وثیقه KAVA قرض گرفت و برای دور زدن سقف وام از حساب دوم استفاده کرد.
به نظر می‌رسد آماده‌سازی حمله از ۸ نوامبر شروع شده بود.
مسیر خروج پول
حدود ۴۹٫۲ میلیون KAVA از ساعت ۴:۵۹ صبح شنبه با پل LayerZero به شبکه BNB منتقل شد و بیشتر آن ظرف یک ساعت به ۳٬۰۰۶٫۵ BNB و ۲۳۱٬۵۵۷ تتر، در مجموع حدود ۲٫۰۹ میلیون دلار، فروخته شد. حدود ۴٫۵۸ میلیون KAVA هم به پنج نشانی ناشناس روی شبکه کاوا رفت. پل بین‌زنجیره‌ای ابزار انتقال دارایی میان دو بلاکچین است و در درس پل بین‌زنجیره‌ای توضیح داده شده است.
واکنش کاوا
کاوا بیش از هفت ساعت پس از شروع حمله در شبکه X از «رفتار غیرمنتظره» یک برنامه در اکوسیستم خود خبر داد. این تیم بعدا گفت توکن نامحدودی ضرب نشده و مشکل به کاوا لند محدود است. صرافی‌های همکار واریز و برداشت KAVA را متوقف کردند و کاوا پل Axelar خود را هم احتیاطا بست. گزارش رسمی رقم زیان و علت حادثه هنوز منتشر نشده است.
قیمت KAVA در زمان انتشار گزارش حدود ۰٫۰۴۲ دلار بود. پیش از این، پروتکل Tectonic روی شبکه کرونوس در اوت حدود ۷۵ میلیون دلار و Bonzo Lend روی هدرا در ژوئیه حدود ۹ میلیون دلار با روش مشابه از دست داده بودند. خطر قراردادهای هوشمند در درس قرارداد هوشمند و تحلیل روزانه در بخش تحلیل کریپتو آمده است.
این مطلب گزارشی خبری است و توصیه سرمایه‌گذاری محسوب نمی‌شود. منبع: The Block؛ کد محاسبه سود این پروتکل در مخزن گیت‌هاب کاوا در دسترس است.
