Community Trust ScoreVérifié
Un attaquant a retiré 55,2 millions de jetons KAVA du protocole de prêt Kava Lend en fin de semaine dernière, un événement qui a réduit la valeur du jeton d’environ 39 % dans les 24 heures qui ont suivi. Les actifs volés étaient évalués à environ 3,76 millions de dollars sur la base du prix pré-attaque de 0,068 $ par KAVA. Au moment de la publication, le KAVA se négociait aux alentours de 0,042 $.
La rubrique Technologie suit le même sujet.
La faille de collatéral BUSD
L’exploitation a ciblé le marché BUSD au sein de Kava Lend, le protocole de prêt natif de la blockchain Layer 1 Kava. BUSD est un stablecoin marqué par Binance, avec Paxos en tant qu’émetteur jusqu’à ce que l’entreprise cesse de créer cet actif en 2023. Avant l’attaque, le marché BUSD sur le protocole était largement inactif. La vulnérabilité a exploité un comportement de codage spécifique dans le compte module de Kava Lend. Le code est conçu pour ignorer une opération de division si l’offre nette d’un actif est exactement nulle, mais il ne prend pas en compte les chiffres infimes supérieurs à zéro.
À 23 h 01 (heure de l’Est) vendredi, l’attaquant a initié l’exploitation en utilisant un petit prêt BUSD pour faire baisser l’offre nette du marché à deux centièmes de centime de dollar. Dans les trois minutes qui ont suivi, l’erreur de calcul du protocole a multiplié la valeur de chaque dépôt BUSD sur le marché par un facteur de 243 000. En conséquence, le système a reconnu le BUSD pré-déposé de l’attaquant comme un collatéral d’une valeur d’environ 1,25 milliard de BUSD. Ce collatéral gonflé a permis à l’attaquant d’emprunter des jetons KAVA 127 fois. Pour contourner la limite d’emprunt de KAVA du protocole, l’attaquant a utilisé un second compte pour solder chaque prêt individuel immédiatement après sa prise.
Exécution et mouvement des fonds
Le compte module de Kava Lend, qui détenait 55,33 millions de KAVA avant l’incident, ne comptait plus que 0,19 KAVA en un peu plus d’une heure et demie. L’attaquant semble s’être préparé à l’exploitation depuis au moins une semaine, en effectuant des cycles répétés de dépôt et d’emprunt à partir du 8 novembre. Après le drainage, l’attaquant a commencé à déplacer les actifs. À partir de 4 h 59 (heure de l’Est) samedi, environ 49,2 millions de KAVA ont été transférés de la réseau Kava vers la BNB Chain en utilisant le pont LayerZero de Kava.
La plupart des KAVA transférés ont été vendus dans l’heure. La vente a généré des recettes de 3 006,5 BNB et 231 557 USDT, pour une valeur combinée de 2,09 millions de dollars. Les recettes en BNB ont depuis été déplacées vers d’autres adresses. De plus, environ 4,58 millions de KAVA ont été envoyés à cinq adresses non étiquetées directement sur le réseau Kava. Kava a émis sa première reconnaissance publique de l’incident à 6 h 28 (heure de l’Est) samedi, plus de sept heures après le début de l’attaque. L’entreprise a déclaré qu’elle suivait un comportement inattendu émanant d’une dApp au sein de l’écosystème Kava, en notant spécifiquement le transfert et la vente de jetons KAVA sur BSC.
Réponse du protocole et impact sur le marché
En réponse à la violation de sécurité, Kava a mis en pause le pont Axelar à 9 h 05 (heure de l’Est), bien que la majorité des KAVA drainés aient déjà quitté le réseau via LayerZero. Les exchanges partenaires ont suspendu les dépôts et les retraits en mesure préventive standard. Kava a précisé que l’événement n’était pas une émission infinie et que l’incident était isolé et contenu dans Kava Lend. L’entreprise a indiqué qu’elle partagerait un rapport d’incident complet dès qu’il serait prêt, en soulignant que les actions ont été prises par excès de prudence. Le prix du jeton KAVA est passé de 0,068 $ à 0,042 $, une baisse de 39 % sur la période de 24 heures suivant l’exploitation. Des incidents similaires ont affecté d’autres réseaux, y compris Cronos, qui a arrêté son réseau en août après une exploitation du protocole de prêt Tectonic estimée à 75 millions de dollars, et Bonzo Lend de Hedera, qui a subi une perte d’environ 9 millions de dollars en juillet.
