Kava Lend 漏洞致 376 万美元流失，代币 24 小时暴跌近 40%

据 Woofun AI 消息， Lend 协议因收益计算逻辑缺陷遭遇精准攻击，导致资金池在极短时间内被掏空。此次事件并非简单的黑客入侵，而是利用停用市场中的数学漏洞，将极小数值转化为巨额抵押品，进而通过高频借贷操作实现资产转移，直接造成约 376 万美元的价值损失。

攻击始于美东时间 11 月 13 日 23 时 01 分，目标锁定 已停用的 市场。攻击者首先通过小额贷款操作，将市场净供给压低至 0.00000002 美元，触发系统在净供给接近零时跳过除法校验的缺陷。

这一操作在 3 分钟内将其存款价值放大约 24.3 万倍，账面计为约 12.5 亿 BUSD 抵押品。随后，攻击者启用第二个账户，通过逐笔清偿的方式绕过 KAVA 借款上限，共计执行 127 次借款操作。

Woofun AI 整理数据显示，资金账户余额在约 1.5 小时内从 5,533 万枚骤降至 0.19 枚，累计流出约 5,520 万枚 KAVA。按攻击前 0.068 美元的单价计算，这部分流出资产价值约 376 万美元。

资金撤离路径清晰且迅速。自 14 日 4 时 59 分起，攻击者借助 桥将约 4,920 万枚 KAVA 转移至 Chain。在一小时内，大部分代币被抛售变现，最终换得 3,006.5 枚 BNB 与 231,557 枚 USDT，折合约 209 万美元。受此冲击，KAVA 代币价格跌至约 0.042 美元，24 小时内跌幅约 39%。Kava 官方回应称事件"并非无限增发"，且影响范围局限于 Kava Lend，合作交易所已暂停充提服务，但截至目前未公布官方损失数字与详细事后报告。

此次攻击暴露了 DeFi 协议在处理边缘数值时的潜在风险，尤其是停用市场中的逻辑漏洞仍可能被利用。尽管官方试图淡化影响，但近 40% 的代币跌幅和数百万美元的直接损失，反映出市场对协议安全性的信心动摇。这是继多起 DeFi 漏洞事件后，再次凸显智能合约审计与异常值校验的重要性。