Kava Lendは分散型レンディングプロトコルへの攻撃を受け、約5,520万枚のKAVAトークンが引き出された。The Blockのオンチェーンデータによると、攻撃時点でこれらのトークンは約376万ドル相当だった。Kavaチームは、今回の事態はKava Lendに限定されており、無制限のトークン発行（いわゆる「インフィニット・ミント」）が原因ではないと表明した。公開時点では、公式被害額の見積もりや詳細な技術報告書はまだ公表されていない。
休止中のBUSDマーケットを悪用した攻撃の手口
脆弱性は、2023年にPaxosが発行を停止したステーブルコインBUSDに連動するKava LendのBUSDマーケットを経由したとみられる。The Blockの分析によると、攻撃者はそのマーケット内で預金価値を不正に操作し、水増しされた担保を使ってKAVAを借り入れた。この操作は127回繰り返され、プロトコルの借入限度額を回避し続けた。
盗まれたトークンの一部はLayerZeroを経由してBNBチェーンにブリッジされ、売却された。同メディアのオンチェーンデータによると、約4,920万KAVAがブリッジされ、BNBとUSDTで約210万ドル相当に換金されたとみられる。ただし、これはオンチェーンデータに基づく暫定的な試算であり、最終的な被害額と資金の全経路はKavaチームの公式報告書で明らかにされる必要がある。
攻撃後にKAVAは約40％下落
The Blockのデータによると、KAVAのトークン価格は攻撃後に約40％下落した。この急落はマーケットの反応を示すものだが、プロトコル全体の損失額や個別預金者への影響を単独で示すものではない。
今回の事態は、利用頻度の低いマーケットや価値の低下した資産に紐づくマーケットを稼働させ続ける分散型レンディングプロトコルのリスクを改めて浮き彫りにした。セキュリティは、プロトコルが利息・担保・借入限度額をどのように計算するかにも依存する。一つのマーケットのロジックに欠陥があれば、同一システムに預けられた他の資産にも影響が及ぶ可能性がある。
Kavaは今回の事態をKava Lendに限定されたものとし、「インフィニット・ミント」を否定した。しかし、なぜ預金価値の水増しが可能だったのか、他の資金が関与していないかどうかは、まだ明らかになっていない。今後の最優先課題は、技術的分析の公表、被害額の正確な定量化、そして同様の脆弱性を再発させないための具体的な対策の説明だ。金融庁（FSA）やJVCEAが国内のDeFiリスク管理に注目するなか、日本の投資家にとっても今回のような分散型プロトコルの脆弱性がどのように管理されるかは、重要な注目点となっている。
