〔品傳媒／綜合外電報導〕Kava區塊鏈原生借貸協議Kava Lend異常事件的全貌逐漸明朗。根據The Block的鏈上分析，攻擊者於美東時間11月13日晚間11時01分（台灣時間14日中午12時01分）起，利用協議中幾乎閒置的BUSD市場計息漏洞，將存款價值灌水約24.3萬倍，再分127次借出約5,520萬枚KAVA，以攻擊前價格計算約376萬美元，其中大部分已跨鏈至BNB Chain拋售，KAVA幣價24小時內重挫逾四成。品傳媒先前已報導此事件初期的幣價異動，本文以最新公開的攻擊細節為主。
重點摘要：這起事件並非代幣無限增發，而是攻擊者以虛增抵押品掟空借貸池。Kava Lend的KAVA池在約一小時半內從5,533萬枚降至0.19枚，官方尚未公布正式損失金額與事故報告。
攻擊手法：閒置BUSD市場的計息除法漏洞
The Block報導指出，攻擊鎖定Kava Lend的BUSD市場。BUSD是幣安品牌穩定幣，發行商Paxos自2023年起已停止鑄造，攻擊前該市場幾乎沒有資金。Kava Lend的公開程式碼以借款人支付的利息除以市場淨供應量，計算存款人收益；程式只在分母剛好為零時跳過除法，對極小但大於零的數值則未設防。
攻擊者先以一筆小額BUSD借款，把該市場淨供應量壓到僅剩億分之二美元，隨後約3分鐘內，每一筆BUSD存款的帳面價值被放大約24.3萬倍，攻擊者事先存入的BUSD因此被系統視為約12.5億BUSD的抵押品。接著攻擊者以此借出KAVA共127次，並用第二個帳戶清算每筆貸款，繞過協議對KAVA借款的上限。TokenPost與The Block都指出，攻擊者自11月8日起就在該市場反覆進行存借測試，佈局至少一週。
資金流向：約4,920萬枚KAVA經LayerZero跨鏈拋售
The Block的鏈上追蹤顯示，Kava Lend存放合併存款的模組帳戶在一小時半多內由約5,533萬枚KAVA降至0.19枚。攻擊者自美東時間14日凌晨4時59分（台灣時間同日傍晙5時59分）起，經Kava的LayerZero跨鏈橋將約4,920萬枚KAVA轉至BNB Chain，並在一小時內大多換成3,006.5枚BNB與231,557枚USDT，合計約209萬美元；另有約458萬枚流向Kava鏈上五個未標記地址。
| 項目 | 數據 |
|---|---|
| 借出KAVA總量 | 約5,520萬枚（攻擊前價值約376萬美元） |
| 跨鏈至BNB Chain | 約4,920萬枚 |
| 拋售所得 | 3,006.5枚BNB＋231,557枚USDT（約209萬美元） |
| 借款次數 | 127次 |
| 存款價值放大倍數 | 約24.3萬倍 |
| KAVA攻擊前價格 | 約0.068美元 |
資料來源：The Block鏈上分析
幣價方面，The Block發稿時KAVA約報0.042美元，24小時跌約39%。另據The Defiant報導引述CoinGecko數據，截至美東時間14日晚間7時12分（台灣時間15日上午8時12分），KAVA約報0.0362美元，24小時跌幅46.6%。
Kava官方回應與交易所措施
Kava在美東時間14日上午6時28分（台灣時間同日晚間7時28分）首度公開承認事件，距攻擊開始已超過7小時。約半小時後，Kava澄清這「不是無限增發」，影響範圍僅限於Kava Lend。台灣時間晚間10時05分，Kava再宣布基於謹慎暫停Axelar跨鏈橋，但被提走的KAVA實際上是經LayerZero離開網路。Kava表示將在備妥後公布完整事故報告，目前尚未提出官方損失數字。
The Defiant指出，韓國交易所Upbit於14日以出現資安事件跡象為由，暫停KAVA充提並發出交易警示；Bithumb與Coinone則分別在台灣時間傍晙6時35分與6時40分起暫停轉帳，其中Bithumb表示交易功能維持開放。
存款人風險與後續觀察
區塊鏈數據商Bitquery的獨立分析（The Defiant引述）指出，攻擊者的輔助錢包借出KAVA後，即使幾乎沒有BUSD可供抵償，清算仍將貸款關閉，釋出借款額度讓流程重複127次。Bitquery估算兩個錢包在償還其他借款人貸款後實際留下約5,390萬枚KAVA，約合370萬美元。該機構也提醒，資金池欠存款人約5,520萬枚KAVA，實際僅剩0.19枚，而攻擊者的虛增BUSD債權仍未結清，後續若有人存入BUSD，可能遇到被該錢包提走的風險。
The Block指出，今年已發生多起借貸協議被以低估抵押品掟空的事件，例如Cronos上的借貸協議Tectonic於8月遭攻擊，損失估計約7,500萬美元；Hedera生態的Bonzo Lend則於7月損失約900萬美元。市場後續將關注Kava的正式事故報告、損失補償安排，以及韓國交易所何時恢復KAVA充提。
常見問題 FAQ
Kava Lend損失多少？
根據The Block鏈上分析，攻擊者借走約5,520萬枚KAVA，以攻擊前價格計約376萬美元，實際拋售所得約209萬美元。Kava官方尚未公布正式損失數字。
這是KAVA代幣被無限增發嗎？
不是。Kava表示事件並非無限增發，僅限於Kava Lend；Bitquery分析也認為，攻擊資金來自借貸池中既有的KAVA，而非新發行的代幣。
攻擊者是如何繞過借款上限的？
攻擊者先以虛增的BUSD抵押品借出KAVA，再用第二個帳戶清算該筆貸款，釋出額度後重複借款，共進行127次。
參考資料
- The Block：Kava Lend loses roughly $3.8 million to hack, sending KAVA token down nearly 40%
- TokenPost：Kava Lend Attacker Used 127 Loans to Bypass Borrowing Limit
- The Defiant（CryptoNews.net轉載）：Kava Lend Exploit Drains Millions as KAVA Falls 47%
※本文內容僅供資訊參考，不構成任何投資建議。加密貨幣價格波動劇烈，投資前請審慎評估自身風險承受能力。
※本文由 AI 輔助撰寫。首圖為示意圖（圖／Freepik）。
