Exploit de Kava Lend: un atacante vacía el pool de préstamos en 55 millones de KAVA

Un atacante vació casi por completo el pool de préstamos de Kava Lend en la madrugada del 14 de noviembre de 2026. Según un análisis on-chain de The Block, tomó prestados unos 55,2 millones de KAVA, alrededor de 3,8 millones de dólares al precio previo al ataque. Lo hizo posible un mercado apenas utilizado del stablecoin BUSD, en el que un error de cálculo infló los depósitos unas 243.000 veces. El token KAVA perdió más de un 40 % en un día, y tres exchanges coreanos suspendieron depósitos y retiradas.

Si tienes KAVA o fondos en Kava Lend, ahora importan sobre todo dos cosas. Según el proyecto, no se crearon tokens nuevos, pero los depositantes del pool se enfrentan a un agujero. Hasta la tarde del domingo no había un informe oficial de daños.

Exploit de Kava Lend: qué ocurrió en la madrugada del 14 de noviembre

Kava es una blockchain de capa 1 que combina tecnología de los ecosistemas de Ethereum y Cosmos. El token KAVA sirve para el staking, paga las comisiones de las transacciones y otorga derechos de voto en el gobierno de la red. Kava Lend es el protocolo de préstamos propio. Un protocolo de préstamos es una aplicación en la que los usuarios depositan criptomonedas y reciben intereses por ellas, mientras otros usuarios piden prestadas criptomonedas a cambio de garantías.

Justo ese protocolo fue el blanco del ataque. Según el análisis de The Block, el atacante tomó prestados unos 55,2 millones de KAVA del pool después de inflar artificialmente sus propios depósitos. El proveedor de datos Bitquery llegó a la misma suma bruta en un análisis propio, del que informa Cryptonews. Tras devolver préstamos ajenos, las dos wallets implicadas se quedaron con 53,9 millones de KAVA, unos 3,7 millones de dólares al precio previo a las ventas. La horquilla de 3,7 a 3,8 millones de dólares describe, por tanto, el valor de los tokens prestados antes de la caída del precio, no lo que obtuvo el atacante.

Kava confirmó el incidente en X. En la publicación de la cuenta @KAVA_CHAIN se lee: «This is not an infinite mint. The event is isolated and contained within Kava Lend.» Es decir, no se habrían emitido tokens nuevos sin límite y el incidente se circunscribe a Kava Lend. El equipo anunció un informe completo del incidente en cuanto esté terminado.

El mercado de BUSD como puerta de entrada: cómo el error de intereses infló los depósitos

BUSD es un stablecoin vinculado al dólar estadounidense que su emisor, Paxos, ya no emite desde 2023. Por eso, el mercado de BUSD en Kava Lend estaba casi vacío. Ahí estaba el problema.

Kava Lend reparte entre los depositantes los intereses que pagan los prestatarios. Para ello, el código divide los intereses recién generados entre la oferta neta del mercado, es decir, efectivo más préstamos pendientes menos reservas. Según el análisis de The Block, el código público se salta esta división cuando el denominador es exactamente cero. Con un valor positivo minúsculo, en cambio, sigue calculando. El atacante empujó la oferta neta del mercado de BUSD justo por encima de cero con un pequeño préstamo. El resultado: cada depósito en BUSD pasó a valer de repente unas 243.000 veces más.

Con esa garantía inflada, el atacante tomó prestados KAVA una y otra vez. Bitquery describe una segunda parte del ataque: una wallet auxiliar pidió KAVA y después sus préstamos fueron liquidados, aunque apenas quedaba BUSD para cubrirlos. Eso volvía a abrir margen bajo el límite de préstamos en KAVA, y la secuencia pudo repetirse 127 veces.

Los especialistas lo llaman exploit: un atacante aprovecha una debilidad del código sin robar contraseñas ni entrar en servidores. Formalmente, cada transacción cumple las reglas del smart contract, pero en conjunto esas reglas llevan a un resultado que nadie quería.

Puente LayerZero hacia BNB Chain: adónde fueron los KAVA prestados

Tras el ataque, el atacante llevó la mayor parte del botín a otra blockchain. Según The Block, unos 49,2 millones de KAVA pasaron por el puente de LayerZero hacia BNB Chain. Un puente es un servicio que transfiere tokens de una blockchain a otra. Allí, el atacante vendió la mayor parte por unos 2,1 millones de dólares. Esas ventas presionaron aún más el precio.

Kava pausó entonces, por precaución, las retiradas a través del puente Axelar. Es un puente distinto de aquel por el que realmente salió el botín. Para los usuarios, esto significa que quien quiera sacar KAVA u otros tokens de Kava mediante Axelar tendrá que esperar a que el equipo vuelva a habilitar el puente.

Precio de KAVA tras el exploit: un 48 % menos en siete días

El precio reaccionó con fuerza. Según datos de CoinGecko citados por Cryptonews, KAVA cayó el 14 de noviembre de unos 0,068 dólares a 0,0362 dólares, un descenso del 46,6 % en 24 horas. La tarde del domingo 15 de noviembre, KAVA cotizaba a 0,0353 dólares según CoinPaprika. En siete días, la caída ronda así el 48 %, mientras que en las últimas 24 horas el precio apenas se movió. La capitalización de mercado ya solo ronda los 38 millones de dólares, lo que sitúa a KAVA en el puesto 385 entre las mayores criptomonedas.

El desplome llega en una semana ya de por sí débil. Bitcoin y Ether llevan días cediendo con claridad; hemos preparado aparte un resumen del crash cripto de esta semana. Sin embargo, la mayor parte de la pérdida de KAVA se debe claramente al exploit y a las ventas en BNB Chain.

Upbit, Bithumb y Coinone: los exchanges detienen las transferencias de KAVA

Tres grandes exchanges de Corea del Sur reaccionaron ese mismo 14 de noviembre. Upbit suspendió los depósitos y retiradas de KAVA, marcó el token con un aviso por volatilidad elevada y lo incluyó en su lista de vigilancia para una posible exclusión. Bithumb y Coinone también detuvieron las transferencias. Según Cryptonews, Bithumb mantuvo la negociación durante la suspensión, y Coinone explicó que otros servicios no estaban afectados. Ese mismo fin de semana, Coinone tuvo que lidiar además con su propia filtración de datos en un proveedor de atención al cliente.

Una suspensión de transferencias protege a los clientes de depositar tokens cuya situación aún no está clara. Pero también significa que quien tenga KAVA en uno de estos exchanges no puede retirarlos por ahora, como mucho venderlos allí.

Cómo protegerte de los exploits en protocolos de préstamos DeFi

Qué pasó: en la madrugada del 14 de noviembre de 2026, un atacante aprovechó un error de cálculo en el mercado de BUSD casi vacío de Kava Lend y tomó prestados unos 55,2 millones de KAVA, alrededor de 3,8 millones de dólares al precio previo al ataque según The Block. Tras pasar por el puente LayerZero, vendió unos 49,2 millones de KAVA en BNB Chain por unos 2,1 millones de dólares (a 15 de noviembre).

¿Te afecta? Los principales afectados son los depositantes que prestaron KAVA en Kava Lend: según Bitquery, el 14 de noviembre el pool debía a los depositantes unos 55,2 millones de KAVA, pero solo tenía 0,19 KAVA. Si tienes KAVA solo en tu propia wallet o en un exchange, el ataque no te ha hecho perder tokens, aunque sí sufres la caída del precio. Kava aún no ha comunicado si los depositantes serán compensados ni cómo.

1. Ningún depósito nuevo en BUSD: Bitquery advierte de que la reclamación inflada de BUSD del atacante sigue existiendo y de que podría vaciar los nuevos depósitos en BUSD de Kava Lend. No deposites nada allí hasta que salga el informe del incidente.
2. Solo canales oficiales: cuenta con falsos «portales de reembolso» y mensajes directos en nombre de Kava; consulta la información sobre compensaciones solo en la web oficial y en la cuenta verificada del proyecto en X.
3. Revoca autorizaciones: si has usado la misma wallet EVM en BNB Chain o en otros servicios de préstamo, revisa las autorizaciones de tokens abiertas con una herramienta como Revoke.cash y revoca todo lo que ya no necesites.
4. Nada de transferencias a ciegas: no envíes KAVA a Upbit, Bithumb o Coinone mientras siga vigente su suspensión de transferencias, ni por el puente Axelar hasta que Kava lo reabra.
5. Wallets separadas: abre una wallet propia con un importe pequeño para los préstamos DeFi y guarda la mayor parte de tus criptomonedas en una wallet de hardware que nunca se conecte a contratos de préstamo.

Nuestra guía Cómo guardar criptomonedas de forma segura explica los fundamentos de una custodia segura, y nuestra comparativa de wallets de hardware compara los dispositivos adecuados.

KAVA en Alemania: pocos mercados desde la exclusión de Bitvavo

Para los inversores en Alemania, KAVA ya es más difícil de negociar desde hace varias semanas. Bitvavo, uno de los grandes exchanges europeos con licencia MiCA, retiró KAVA de su oferta el 18 de septiembre, según informamos el 16 de septiembre de 2026; los detalles están en nuestro artículo sobre la exclusión de Kava, Nano y Ravencoin en Bitvavo. Quien quiera comprar o vender KAVA hoy termina, por tanto, a menudo en exchanges fuera de la supervisión de la UE.

Precisamente después de un incidente así conviene fijarse en la licencia. Un exchange con licencia MiCA debe custodiar por separado los fondos de sus clientes y está supervisado por una autoridad de la UE, en Alemania la BaFin. Nuestra comparativa de exchanges cripto regulados muestra qué proveedores tienen esa licencia. Ahora bien, una licencia de exchange no protege frente a fallos de un protocolo de préstamos: Kava Lend es un servicio descentralizado y allí no existe un fondo de garantía de depósitos como en un banco.

Riesgo de los préstamos DeFi: por qué los mercados casi vacíos son peligrosos

El caso de Kava Lend sigue un patrón que aparece una y otra vez en los protocolos de préstamos descentralizados. Un mercado que ya casi nadie usa sigue técnicamente abierto. Como contiene poco dinero, bastan importes pequeños para mover indicadores como la oferta neta. Si el código no calcula con limpieza en ese punto, un mercado marginal se convierte en una palanca sobre todo el pool.

Para los depositantes, esto significa que el riesgo no está solo en la criptomoneda que prestas, sino en todo el protocolo con todos sus mercados. Según Bitquery, bastó un fallo en el mercado de BUSD para vaciar los depósitos de KAVA de otros usuarios. En los proveedores centralizados el riesgo está en otro lugar, por ejemplo en la custodia por parte de la empresa. Nuestra comparativa de préstamos cripto muestra qué ofertas existen y cómo gestionan intereses y garantías.

Tres preguntas ayudan ante cualquier protocolo de préstamos. ¿Cuántos mercados hay y están cerrados los mercados inactivos? ¿Hay revisiones de seguridad recientes del código, las llamadas auditorías? ¿Y existe una reserva que cubra las pérdidas de los depositantes? Si falta alguna respuesta, un importe menor es la opción más prudente.

Informe del incidente de Kava: qué preguntas siguen abiertas

Hasta la tarde del domingo, Kava no había publicado ni una cifra oficial de daños ni un análisis de las causas. Sobre todo, sigue sin saberse si los depositantes de Kava Lend serán compensados y con qué fondos. Tampoco se sabe cuándo volverá a habilitarse el puente Axelar ni si el mercado de BUSD defectuoso se cerrará o se modificará el código.

Para los exchanges coreanos, la reanudación de las transferencias depende precisamente de ese informe. Upbit ha incluido además KAVA en su lista de vigilancia; una exclusión allí costaría uno de los mercados más importantes que quedan. Si tienes KAVA, espera al informe antes de reorganizar tus posiciones y no te dejes arrastrar por los vaivenes del precio en uno u otro sentido.

Exploit de Kava Lend: sin informe del incidente, el daño sigue sin aclararse

Con unos 3,8 millones de dólares, el ataque contra Kava Lend no es un gran hackeo, pero sí un duro golpe para los depositantes del pool. Hasta que Kava presente el informe anunciado, tienen sentido tres pasos:

1. Comprueba dónde están tus criptomonedas y separa los saldos en préstamo de tus tenencias a largo plazo. Para estas últimas sirve una wallet de hardware de nuestra comparativa de wallets de hardware.
2. Si quieres seguir ganando intereses con criptomonedas, compara proveedores, garantías y responsabilidad antes de depositar. Te ayuda la comparativa de préstamos cripto.
3. Negocia KAVA y otras criptomonedas, en la medida de lo posible, a través de un exchange con licencia de la UE. El resumen de exchanges cripto regulados muestra qué proveedores tienen licencia MiCA.

(15 de noviembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)