Un exploit a frappé Kava Lend, le protocole de prêt décentralisé de la blockchain Kava, entraînant le retrait d'environ 55,2 millions de tokens KAVA. Selon les données on-chain analysées par The Block, ces tokens valaient environ 3,76 millions de dollars au moment de l'attaque. Kava a déclaré que l'incident est limité à Kava Lend et qu'il n'a pas été causé par une création illimitée de tokens. Au moment de la publication, l'équipe n'avait pas encore diffusé d'estimation officielle des pertes ni de rapport technique complet.
L'exploit a exploité un marché BUSD inactif
La faille proviendrait du marché BUSD de Kava Lend, lié au stablecoin que Paxos a cessé d'émettre en 2023. D'après la reconstitution de The Block, l'attaquant aurait manipulé la valeur des dépôts sur ce marché, puis emprunté des KAVA en utilisant le collatéral ainsi artificiellement gonflé. L'opération aurait été répétée 127 fois, contournant à chaque reprise les limites d'emprunt du protocole.
Une partie des tokens aurait ensuite été transférée vers la BNB Chain via LayerZero, puis vendue. Selon les données citées par The Block, environ 49,2 millions de KAVA ont été «bridgés» et échangés contre environ 2,1 millions de dollars en BNB et USDT. Cette reconstitution repose sur des données on-chain: le montant définitif des pertes et le parcours complet des fonds devront être précisés dans le rapport de l'équipe.
Le token KAVA a chuté de près de 40 %
La nouvelle a pesé sur le prix du KAVA, qui selon The Block a reculé de près de 40 % dans les heures suivant l'attaque. Cette baisse reflète la réaction du marché à l'incident, sans pour autant mesurer à elle seule les pertes du protocole ni l'impact potentiel sur les déposants individuels.
Cette affaire illustre les risques que font peser les marchés de prêt décentralisés lorsqu'ils maintiennent actifs des marchés peu utilisés ou adossés à des actifs devenus marginaux. La sécurité dépend aussi de la façon dont le protocole calcule les intérêts, le collatéral et les limites d'emprunt: une faille dans la logique d'un seul marché peut avoir des répercussions sur l'ensemble des actifs déposés dans le système.
Kava a qualifié l'incident de «circonscrpit à Kava Lend» et a écarté l'hypothèse d'un «mint infini», mais il reste à expliquer comment la valeur des dépôts a pu être gonflée et si d'autres fonds sont concernés. La priorité est désormais de publier une analyse technique, de quantifier précisément les pertes et d'indiquer quelles mesures seront adoptées pour éviter qu'une vulnérabilité similaire ne se reproduise. Pour les investisseurs français exposés à des protocoles DeFi, cet épisode rappelle que l'AMF et l'ACPR insistent sur la nécessité d'évaluer les audits de sécurité avant tout dépôt sur des plateformes décentralisées.
