Kava-Lend-Exploit: Angreifer leert den Kreditpool um 55 Millionen KAVA

Ein Angreifer hat den Kreditpool von Kava Lend in der Nacht zum 14. November 2026 fast vollständig geleert. Laut einer On-Chain-Auswertung von The Block lieh er rund 55,2 Millionen KAVA, zum Kurs vor dem Angriff etwa 3,8 Millionen Dollar. Möglich machte das ein kaum genutzter Markt für den Stablecoin BUSD, in dem ein Rechenfehler die Einlagen um das Rund-243.000-Fache aufblähte. Der KAVA-Token verlor binnen eines Tages mehr als 40 Prozent, drei koreanische Börsen stoppten Ein- und Auszahlungen.

Wer KAVA hält oder Guthaben in Kava Lend liegen hat, sollte jetzt vor allem zwei Dinge wissen: Neue Token wurden nach Angaben des Projekts nicht geschaffen, die Einleger des Pools stehen aber vor einer Lücke. Ein offizieller Schadensbericht fehlt bis Sonntagnachmittag.

Kava-Lend-Exploit: Was in der Nacht zum 14. November passiert ist

Kava ist eine Layer-1-Blockchain, die Technik aus dem Ethereum- und dem Cosmos-Umfeld verbindet. Der Token KAVA dient dem Staking, bezahlt Transaktionsgebühren und gibt Stimmrechte bei der Steuerung des Netzwerks. Kava Lend ist das hauseigene Lending-Protokoll. Ein Lending-Protokoll ist eine Anwendung, in der Nutzer Coins einzahlen, dafür Zinsen bekommen, und andere Nutzer gegen Sicherheiten Coins leihen.

Genau dieses Protokoll traf der Angriff. Laut der Auswertung von The Block lieh sich der Angreifer rund 55,2 Millionen KAVA aus dem Pool, nachdem er seine eigenen Einlagen künstlich aufgebläht hatte. Der Datenanbieter Bitquery kam in einer eigenen Analyse, über die Cryptonews berichtet, auf dieselbe Bruttosumme. Nach Rückzahlung fremder Kredite behielten die beiden beteiligten Wallets demnach 53,9 Millionen KAVA, zum Kurs vor dem Abverkauf etwa 3,7 Millionen Dollar. Die Spanne von 3,7 bis 3,8 Millionen Dollar beschreibt also den Wert der geliehenen Token vor dem Kurssturz, nicht den Erlös des Angreifers.

Kava selbst bestätigte den Vorfall auf X. Im Beitrag des Kontos @KAVA_CHAIN heißt es: „This is not an infinite mint. The event is isolated and contained within Kava Lend.“ Übersetzt: Es seien keine unbegrenzt neuen Token geprägt worden, der Vorfall beschränke sich auf Kava Lend. Einen vollständigen Bericht zum Vorfall kündigte das Team an, sobald er fertig sei.

Der BUSD-Markt als Einfallstor: Wie der Zinsfehler die Einlagen aufblähte

BUSD ist ein an den US-Dollar gekoppelter Stablecoin, den der Herausgeber Paxos seit 2023 nicht mehr neu ausgibt. Der BUSD-Markt in Kava Lend war entsprechend fast leer. Darin lag das Problem.

Kava Lend verteilt die Zinsen der Kreditnehmer auf die Einleger. Dafür teilt der Code die neu angefallenen Zinsen durch das Nettoangebot des Marktes, also durch Bargeld plus ausstehende Kredite minus Reserven. Laut der Auswertung von The Block überspringt der öffentlich einsehbare Code diese Division, wenn der Nenner genau null ist. Bei einem winzigen positiven Wert rechnet er dagegen weiter. Der Angreifer drückte das Nettoangebot des BUSD-Marktes mit einem kleinen Kredit knapp über null. Die Folge: Jede BUSD-Einlage galt plötzlich als rund 243.000-mal so viel wert.

Mit dieser aufgeblähten Sicherheit lieh der Angreifer immer wieder KAVA. Bitquery beschreibt einen zweiten Teil des Angriffs: Eine Hilfs-Wallet nahm KAVA auf, anschließend wurden ihre Kredite liquidiert, obwohl kaum noch BUSD zur Deckung da war. Das schuf wieder Platz unter der Obergrenze für KAVA-Kredite, und der Ablauf ließ sich 127-mal wiederholen.

Fachleute nennen so etwas einen Exploit: Ein Angreifer nutzt eine Schwachstelle im Code aus, ohne Passwörter zu stehlen oder Server zu knacken. Formal hält sich jede einzelne Transaktion an die Regeln des Smart Contracts, nur führen diese Regeln in der Summe zu einem Ergebnis, das niemand wollte.

LayerZero-Brücke zur BNB Chain: Wohin die geliehenen KAVA flossen

Nach dem Angriff brachte der Angreifer den Großteil der Beute auf eine andere Blockchain. Laut The Block wanderten rund 49,2 Millionen KAVA über die Brücke von LayerZero zur BNB Chain. Eine Brücke ist ein Dienst, der Token von einer Blockchain auf eine andere überträgt. Dort verkaufte der Angreifer den Großteil für rund 2,1 Millionen Dollar. Diese Verkäufe drückten den Kurs zusätzlich.

Kava pausierte daraufhin vorsorglich die Auszahlungen über die Axelar-Brücke. Das ist eine andere Brücke als die, über die die Beute tatsächlich abfloss. Für Nutzer heißt das: Wer gerade KAVA oder andere Token über Axelar von Kava wegbewegen will, muss warten, bis das Team die Brücke wieder freigibt.

KAVA Kurs nach dem Exploit: Minus 48 Prozent in sieben Tagen

Der Kurs reagierte heftig. Laut CoinGecko-Daten, die Cryptonews zitiert, fiel KAVA am 14. November von rund 0,068 Dollar auf 0,0362 Dollar, ein Minus von 46,6 Prozent in 24 Stunden. Am Sonntagnachmittag, dem 15. November, stand KAVA laut CoinPaprika bei 0,0353 Dollar. Auf sieben Tage gerechnet liegt das Minus damit bei rund 48 Prozent, in den letzten 24 Stunden bewegte sich der Kurs kaum. Die Marktkapitalisierung liegt nur noch bei rund 38 Millionen Dollar, KAVA steht damit auf Platz 385 der größten Kryptowährungen.

Der Absturz fällt in eine ohnehin schwache Woche. Bitcoin und Ether haben seit Tagen deutlich nachgegeben, einen Überblick über den Krypto-Crash dieser Woche haben wir gesondert zusammengestellt. Der Großteil des KAVA-Verlusts geht aber eindeutig auf den Exploit und den Abverkauf auf der BNB Chain zurück.

Upbit, Bithumb und Coinone: Börsen stoppen KAVA-Transfers

Drei große Börsen in Südkorea reagierten noch am 14. November. Upbit setzte Ein- und Auszahlungen von KAVA aus, versah den Token mit einem Warnhinweis wegen erhöhter Schwankungen und setzte ihn auf seine Beobachtungsliste für ein mögliches Delisting. Bithumb und Coinone stoppten ebenfalls die Transfers. Bithumb ließ den Handel laut Cryptonews während der Sperre weiterlaufen, Coinone erklärte, andere Dienste seien nicht betroffen. Coinone hatte am selben Wochenende zusätzlich mit einem eigenen Datenleck beim Support-Dienstleister zu tun.

Eine Transfersperre schützt Kunden davor, Token einzuzahlen, deren Lage noch unklar ist. Die Sperre bedeutet aber auch: Wer KAVA auf einer dieser Börsen liegen hat, kann sie derzeit nicht abziehen, nur gegebenenfalls dort verkaufen.

So schützt du dich vor Exploits bei DeFi-Lending-Protokollen

Was passiert ist: In der Nacht zum 14. November 2026 nutzte ein Angreifer einen Rechenfehler im fast leeren BUSD-Markt von Kava Lend und lieh rund 55,2 Millionen KAVA, laut The Block etwa 3,8 Millionen Dollar zum Kurs vor dem Angriff. Rund 49,2 Millionen KAVA verkaufte er nach dem Weg über die LayerZero-Brücke auf der BNB Chain für rund 2,1 Millionen Dollar (Stand 15. November).

Bist du betroffen? Betroffen sind vor allem Einleger, die KAVA in Kava Lend verliehen haben: Laut Bitquery schuldete der Pool den Einlegern am 14. November rund 55,2 Millionen KAVA, hielt aber nur noch 0,19 KAVA. Wer KAVA nur in der eigenen Wallet oder auf einer Börse hält, hat keinen Token-Verlust durch den Angriff, wohl aber den Kursverlust. Ob und wie Einleger entschädigt werden, hat Kava noch nicht mitgeteilt.

1. Keine neuen BUSD-Einlagen: Bitquery warnt, dass der aufgeblähte BUSD-Anspruch des Angreifers weiter besteht und neue BUSD-Einlagen in Kava Lend von ihm abgezogen werden könnten. Zahle dort bis zum Incident-Report nichts ein.
2. Nur offizielle Kanäle: Rechne mit gefälschten „Erstattungsportalen“ und Direktnachrichten im Namen von Kava; Informationen zur Entschädigung liest du nur auf der offiziellen Website und dem verifizierten X-Konto des Projekts.
3. Freigaben entziehen: Hast du mit derselben EVM-Wallet auf der BNB Chain oder bei anderen Lending-Diensten gearbeitet, prüfe offene Token-Freigaben mit einem Freigabe-Prüfer wie Revoke.cash und widerrufe alles, was du nicht mehr brauchst.
4. Keine Transfers ins Ungewisse: Schicke KAVA nicht an Upbit, Bithumb oder Coinone, solange deren Transfersperre gilt, und nicht über die Axelar-Brücke, bis Kava sie wieder freigibt.
5. Getrennte Wallets: Lege für DeFi-Lending eine eigene Wallet mit kleinem Betrag an und halte den größeren Teil deiner Coins auf einer Hardware-Wallet, die nie mit Lending-Verträgen verbunden ist.

Die Grundlagen der sicheren Verwahrung erklärt unser Ratgeber Kryptowährungen sicher aufbewahren, die passenden Geräte vergleicht der Hardware-Wallet-Vergleich.

KAVA in Deutschland: Kaum Handelsplätze seit dem Bitvavo-Delisting

Für Anleger in Deutschland ist KAVA schon seit einigen Wochen schwerer zu handeln. Bitvavo, eine der großen europäischen Börsen mit MiCA-Zulassung, hat KAVA nach unserem Bericht vom 16. September 2026 am 18. September aus dem Angebot genommen; die Einzelheiten stehen in unserem Beitrag zum Bitvavo-Delisting von Kava, Nano und Ravencoin. Wer KAVA heute kaufen oder verkaufen will, landet deshalb oft bei Börsen außerhalb der EU-Aufsicht.

Gerade nach einem Vorfall wie diesem lohnt der Blick auf die Zulassung. Eine Börse mit MiCA-Lizenz muss Kundengelder getrennt verwahren und unterliegt der Aufsicht einer EU-Behörde, in Deutschland der BaFin. Welche Anbieter diese Zulassung haben, zeigt unser Vergleich der regulierten Krypto-Börsen. Vor Fehlern in einem Lending-Protokoll schützt eine Börsenlizenz nicht: Kava Lend ist ein dezentraler Dienst, eine Einlagensicherung wie bei einer Bank gibt es dort nicht.

DeFi-Lending-Risiko: Warum fast leere Märkte gefährlich sind

Der Fall Kava Lend folgt einem Muster, das bei dezentralen Kreditprotokollen immer wieder auftaucht. Ein Markt, den kaum noch jemand nutzt, bleibt technisch geöffnet. Weil dort wenig Geld liegt, reichen schon kleine Beträge, um Kennzahlen wie das Nettoangebot zu verschieben. Rechnet der Code an einer solchen Stelle nicht sauber, wird aus einem Randmarkt ein Hebel auf den gesamten Pool.

Für Einleger bedeutet das: Das Risiko steckt nicht nur im Coin, den du verleihst, sondern im ganzen Protokoll mit all seinen Märkten. Laut Bitquery reichte ein Fehler im BUSD-Markt, um die KAVA-Einlagen anderer Nutzer abzuziehen. Bei zentralen Anbietern liegt das Risiko an anderer Stelle, etwa bei der Verwahrung durch das Unternehmen. Welche Lending-Angebote es gibt und wie sie Zinsen und Sicherheiten regeln, zeigt unser Krypto-Lending-Vergleich.

Drei Fragen helfen bei jedem Lending-Protokoll: Wie viele Märkte gibt es, und sind tote Märkte geschlossen? Gibt es aktuelle Sicherheitsprüfungen des Codes, sogenannte Audits? Und gibt es eine Rücklage, aus der Verluste der Einleger gedeckt werden? Fehlt eine Antwort, ist ein kleinerer Betrag die vorsichtigere Wahl.

Kava-Incident-Report: Welche Fragen noch offen sind

Bis Sonntagnachmittag hat Kava weder eine offizielle Schadenssumme noch eine Ursachenanalyse veröffentlicht. Offen ist vor allem, ob die Einleger von Kava Lend entschädigt werden und aus welchen Mitteln. Offen ist auch, wann die Axelar-Brücke wieder freigegeben wird und ob der fehlerhafte BUSD-Markt geschlossen oder der Code geändert wird.

Für die koreanischen Börsen hängt die Wiederaufnahme der Transfers an genau diesem Bericht. Upbit hat KAVA zudem auf seine Beobachtungsliste gesetzt; ein Delisting dort würde einen der wichtigsten verbliebenen Handelsplätze kosten. Wer KAVA hält, sollte den Bericht abwarten, bevor er Positionen umschichtet, und sich nicht von Kursausschlägen in die eine oder andere Richtung treiben lassen.

Kava-Lend-Exploit: Ohne Incident-Report bleibt der Schaden offen

Der Angriff auf Kava Lend ist mit rund 3,8 Millionen Dollar kein Großhack, für die Einleger des Pools aber ein schwerer Schlag. Bis Kava den angekündigten Bericht vorlegt, sind drei Schritte sinnvoll:

1. Prüfe, wo deine Coins liegen, und trenne Lending-Guthaben von deinem langfristigen Bestand. Für den Bestand eignet sich eine Hardware-Wallet aus unserem Hardware-Wallet-Vergleich.
2. Willst du weiter Zinsen auf Kryptowährungen verdienen, vergleiche Anbieter, Sicherheiten und Haftung, bevor du einzahlst. Hilfe bietet der Krypto-Lending-Vergleich.
3. Handle KAVA und andere Coins möglichst über eine Börse mit EU-Zulassung. Welche Anbieter MiCA-lizenziert sind, zeigt die Übersicht der regulierten Krypto-Börsen.

(Stand: 15. November 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)