Kava Lend vidé : 3,8 millions de dollars volés et un jeton KAVA à son plus bas historique
Casse du samedi. Un attaquant a emprunté 55,2 millions de KAVA sur Kava Lend, le protocole de prêt de la blockchain Kava, en gonflant artificiellement un dépôt dans un marché abandonné. Le butin vaut 3,8 millions de dollars au cours d’avant l’attaque et il n’en reste que 0,19 KAVA dans la réserve. Le jeton a perdu jusqu’à 47 % en 24 heures, trois plateformes coréennes ont coupé les retraits et le pont Axelar est à l’arrêt. Kava, ce « MakerDAO de Cosmos » lancé en 2019, n’avait plus fait parler de lui depuis longtemps.
Le marché n’avait pas besoin de ça. Le hack est tombé en plein week-end noir, pendant que Bitcoin cherchait ses 62 000 $, et le KAVA a fini la journée à 0,036 $. Un plus bas historique pour un jeton qui a valu plus de 9 dollars en 2021.
Les points clés de cet article :
- Le marché BUSD de Kava Lend a été manipulé pour multiplier la valeur d’un dépôt par 243 000.
- 49 millions de KAVA ont été transférés vers BNB Chain via LayerZero et revendus pour environ 2,1 millions de dollars.
- Upbit, Bithumb et Coinone ont suspendu les transferts, Upbit a placé le jeton sous surveillance de delisting.
- Kava affirme que l’incident reste confiné au protocole de prêt et qu’il ne s’agit pas d’un infinite mint.
Comment Kava Lend a été vidé avec un marché BUSD à zéro
Kava Lend fonctionne comme Aave ou Compound. Vous déposez un actif, il sert de garantie, et vous empruntez un autre actif jusqu’à un plafond calculé sur la valeur de votre dépôt. Le protocole recalcule cette valeur en permanence en fonction des intérêts accumulés par le marché concerné.
L’attaquant a visé le marché du BUSD, le stablecoin de Binance abandonné depuis 2023, qui traînait encore dans le protocole avec presque rien dedans. D’après l’analyse onchain de Bitquery relayée par The Block, il a ramené l’offre nette de ce marché tout près de zéro. Le code de calcul des intérêts ne protège contre la division que lorsque le dénominateur vaut exactement zéro. Avec un nombre minuscule à la place, le calcul s’emballe et la valeur du dépôt BUSD a été multipliée par environ 243 000.
Le reste est de la mécanique. Avec cette garantie fictive, un portefeuille a emprunté du KAVA, s’est fait liquider sans que le BUSD ne couvre rien, et a rouvert à chaque fois de la place sous le plafond d’emprunt. La boucle a tourné 127 fois. Deux portefeuilles ont fini avec 53,9 millions de KAVA après avoir remboursé les prêts des autres utilisateurs, soit 3,7 millions de dollars au prix d’avant la vente.
KAVA à -47 % et trois exchanges coréens qui ferment le robinet
Les jetons n’ont pas traîné. Environ 49,2 millions de KAVA sont passés sur BNB Chain par le pont LayerZero, puis ont été vendus contre à peine 2,1 millions de dollars, la liquidité ne suivant pas. Le cours a perdu plus de 40 % dans l’heure qui a suivi l’alerte de l’équipe, pour tomber à 0,036 $ en soirée, en recul de 46,6 % sur 24 heures d’après CoinGecko.
Upbit, Bithumb et Coinone ont suspendu dépôts et retraits de KAVA dans la matinée coréenne. Upbit a ajouté un avertissement de volatilité et l’a placé sur sa liste de surveillance de delisting, l’antichambre du retrait de la cote. Kava a de son côté coupé les retraits inter-chaînes via Axelar vers 15 h, heure de Paris, par précaution, en promettant un rapport d’incident complet.
Le message officiel insiste sur deux points. L’incident est « isolé et confiné à Kava Lend », et il ne s’agit pas d’un infinite mint, c’est-à-dire que personne n’a créé de nouveaux jetons. La nuance compte pour l’offre totale, elle ne console pas les prêteurs. Bitquery a constaté samedi que le pool devait 55,2 millions de KAVA à ses déposants et n’en contenait plus que 0,19.
Un vieux marché oublié et une facture qui n’est pas close
Aucun bridge piraté ni clé volée ici, seulement un marché que personne n’avait pris la peine de fermer. Kava avait accueilli l’USDT de Tether en 2023 pour se relancer, et le BUSD est resté listé comme un meuble dans un garage. Les audits vérifient le code au moment où ils sont faits, pas les marchés morts qui s’accumulent ensuite.
La facture reste ouverte. La créance BUSD gonflée de l’attaquant figure toujours au bilan du protocole, ce qui veut dire que tout nouveau dépôt de BUSD pourrait être retiré par le même portefeuille. Kava n’a pas encore dit si les prêteurs seraient remboursés, ni avec quoi.
L’addition de l’année est déjà lourde pour la DeFi. Plus de 750 millions de dollars avaient été volés sur les protocoles décentralisés dès le premier semestre 2026, et Kava rejoint une liste où les bridges et les marchés de prêt se partagent l’essentiel des pertes. Le rapport d’incident promis par l’équipe est attendu dans les prochains jours, avec 55,2 millions de KAVA dus aux déposants à traiter.
Magali
Tombée dans le terrier du lapin blanc en 2017, je suis passée de lectrice assidue à Rédactrice en chef du Journal du Coin jusqu'en novembre 2026. J’aime m'investir dans les coulisses de projets pour porter ma vision d'un futur décentralisé. Amoureuse des belles lettres, je coordonne nos équipes pour transformer la complexité technique en une information humaine, précise et sans jargon inutile. Entre entrepreneuriat et rédaction, ma mission est claire : vulgariser demain, mais le faire aujourd'hui.