Inflation de marché vide sur Kava Lend

Le 13 novembre 2026, Kava Lend, le marché monétaire natif de la blockchain Kava, a été vidé d'environ 55,2 millions de KAVA — soit à peu près 3,76 millions de dollars au cours d'avant l'attaque — après qu'un attaquant a gonflé le prix par part d'un marché BUSD quasi dormant et emprunté contre une garantie fantôme. L'attaque a débuté vers 23 h 01 ET et a duré près d'une heure et demie avant que Kava ne la reconnaisse.

Ce qui s'est passé

Kava Lend calcule l'intérêt des déposants en divisant l'intérêt accumulé des emprunteurs par l'offre nette d'un marché. Le code se prémunissait contre une offre nette exactement nulle, mais pas contre une valeur positive infime — un risque classique d'arrondi et de donation, observé aussi dans l'exploit de marché vide de ZeroLend.

L'attaquant a visé le marché du BUSD, le stablecoin de marque Binance dont Paxos a cessé l'émission en 2023, laissant le marché pratiquement vide. Avec un petit prêt en BUSD, l'attaquant a abaissé l'offre nette à environ deux cent-millionièmes de dollar. En trois minutes environ, la valeur créditée à chaque dépôt de BUSD a été multipliée par près de 243 000, si bien que le BUSD pré-déposé de l'attaquant a été compté comme environ 1,25 milliard de BUSD de garantie.

Contre ce solde fantôme, l'attaquant a emprunté du KAVA 127 fois, utilisant un second compte pour liquider chaque prêt tour à tour et contourner le plafond d'emprunt de KAVA par position de Kava Lend. Les traces on-chain suggèrent que le sondage a commencé vers le 8 novembre. Le compte de module de Kava Lend est passé de 55,33 millions de KAVA à 0,19 KAVA.

Conséquences

• Environ 49,2 millions de KAVA ont été pontés vers BNB Chain via LayerZero et majoritairement vendus pour environ 3 006,5 BNB et 231 557 USDT (~2,09 M$) ; quelque ~4,58 millions de KAVA ont été dispersés vers cinq adresses Kava.
• Kava a suspendu son pont Axelar par précaution — bien que le KAVA volé soit déjà sorti par LayerZero — et a indiqué que des plateformes partenaires avaient suspendu les dépôts et retraits de KAVA.
• Kava a affirmé que l'événement « n'était pas un mint infini » et était contenu dans Kava Lend, promettant un rapport complet. Aucun fonds n'a été récupéré, et le token KAVA a chuté d'environ 40 % en 24 heures.

Pourquoi c'est important

Kava Lend est un cas d'école d'inflation du prix par part : un marché que tout le monde avait oublié est devenu le point d'entrée parce que son offre quasi nulle a cassé la mathématique des intérêts. Cela rappelle la donation de marché vide de ZeroLend et le drainage par inflation de garantie de Cream Finance — mécaniques différentes, même issue, où une garantie fabriquée se transforme en emprunts réels. Cela confirme aussi la leçon récurrente de 2026 selon laquelle les marchés dormants ou obsolètes restent une surface d'attaque vivante, le même thème que le bug de coffre d'ACryptoS : un listing que personne n'utilise a tout de même besoin d'un plancher protecteur sur l'offre, sinon son dénominateur devient une arme.