Exploit de Kava Lend : un attaquant vide le pool de prêt de 55 millions de KAVA

Un attaquant a presque entièrement vidé le pool de prêt de Kava Lend dans la nuit du 13 au 14 novembre 2026. Selon une analyse on-chain de The Block, il a emprunté environ 55,2 millions de KAVA, soit près de 3,8 millions de dollars au cours d’avant l’attaque. L’opération a été rendue possible par un marché à peine utilisé du stablecoin BUSD, dans lequel une erreur de calcul a gonflé les dépôts d’un facteur d’environ 243 000. Le jeton KAVA a perdu plus de 40 % en une journée, et trois plateformes coréennes ont suspendu dépôts et retraits.

Si vous détenez des KAVA ou avez des avoirs dans Kava Lend, deux points comptent avant tout. Selon le projet, aucun nouveau jeton n’a été créé, mais les déposants du pool font face à un trou. Dimanche après-midi, aucun rapport officiel sur le préjudice n’avait encore été publié.

Exploit de Kava Lend : ce qui s’est passé dans la nuit du 14 novembre

Kava est une blockchain de couche 1 qui associe des technologies issues des écosystèmes Ethereum et Cosmos. Le jeton KAVA sert au staking, règle les frais de transaction et confère des droits de vote dans la gouvernance du réseau. Kava Lend est le protocole de prêt maison. Un protocole de prêt est une application dans laquelle des utilisateurs déposent des cryptos et perçoivent des intérêts, tandis que d’autres empruntent des cryptos contre des garanties.

C’est précisément ce protocole que l’attaque a visé. Selon l’analyse de The Block, l’attaquant a emprunté environ 55,2 millions de KAVA dans le pool après avoir artificiellement gonflé ses propres dépôts. Le fournisseur de données Bitquery est parvenu au même montant brut dans sa propre analyse, rapportée par Cryptonews. Après remboursement d’autres prêts, les deux portefeuilles impliqués ont conservé 53,9 millions de KAVA, soit environ 3,7 millions de dollars au cours d’avant la vague de ventes. La fourchette de 3,7 à 3,8 millions de dollars correspond donc à la valeur des jetons empruntés avant la chute du cours, et non au gain de l’attaquant.

Kava a confirmé l’incident sur X. Dans le message du compte @KAVA_CHAIN, on lit : « This is not an infinite mint. The event is isolated and contained within Kava Lend. » Autrement dit, aucun jeton n’aurait été émis sans limite et l’incident se limiterait à Kava Lend. L’équipe a annoncé un rapport complet dès qu’il sera achevé.

Le marché BUSD comme porte d’entrée : comment l’erreur de calcul des intérêts a gonflé les dépôts

Le BUSD est un stablecoin adossé au dollar américain que son émetteur Paxos ne frappe plus depuis 2023. Le marché BUSD de Kava Lend était donc presque vide. C’est là que résidait le problème.

Kava Lend répartit les intérêts versés par les emprunteurs entre les déposants. Pour cela, le code divise les intérêts nouvellement courus par l’offre nette du marché, c’est-à-dire les liquidités plus les prêts en cours moins les réserves. Selon l’analyse de The Block, le code consultable publiquement saute cette division lorsque le dénominateur vaut exactement zéro. Avec une valeur positive infime, en revanche, il poursuit le calcul. L’attaquant a ramené l’offre nette du marché BUSD juste au-dessus de zéro grâce à un petit prêt. Conséquence : chaque dépôt en BUSD valait soudain environ 243 000 fois plus.

Avec cette garantie gonflée, l’attaquant a emprunté des KAVA encore et encore. Bitquery décrit un second volet de l’attaque : un portefeuille auxiliaire a emprunté des KAVA, puis ses prêts ont été liquidés alors qu’il ne restait presque plus de BUSD pour les couvrir. Cela libérait de nouveau de la place sous le plafond des prêts en KAVA, et l’opération a pu être répétée 127 fois.

Les spécialistes parlent d’exploit : un attaquant tire parti d’une faiblesse du code sans voler de mots de passe ni pirater de serveurs. Formellement, chaque transaction respecte les règles du smart contract, mais mises bout à bout, ces règles aboutissent à un résultat que personne n’avait voulu.

Pont LayerZero vers la BNB Chain : où sont partis les KAVA empruntés

Après l’attaque, l’attaquant a transféré l’essentiel du butin vers une autre blockchain. Selon The Block, environ 49,2 millions de KAVA ont transité par le pont de LayerZero vers la BNB Chain. Un pont est un service qui transfère des jetons d’une blockchain à une autre. L’attaquant y a vendu la majeure partie pour environ 2,1 millions de dollars. Ces ventes ont encore pesé sur le cours.

Kava a ensuite suspendu par précaution les retraits via le pont Axelar. Il s’agit d’un autre pont que celui par lequel le butin est effectivement sorti. Pour les utilisateurs, cela signifie que quiconque souhaite sortir des KAVA ou d’autres jetons de Kava via Axelar doit attendre que l’équipe rouvre le pont.

Cours du KAVA après l’exploit : moins 48 % en sept jours

Le cours a réagi violemment. Selon les données de CoinGecko citées par Cryptonews, le KAVA est passé le 14 novembre d’environ 0,068 dollar à 0,0362 dollar, soit une baisse de 46,6 % en 24 heures. Le dimanche 15 novembre après-midi, le KAVA s’échangeait à 0,0353 dollar selon CoinPaprika. Sur sept jours, la baisse atteint donc environ 48 %, tandis que le cours a peu bougé sur les dernières 24 heures. La capitalisation boursière ne s’élève plus qu’à environ 38 millions de dollars, ce qui place le KAVA au 385^e rang des cryptomonnaies.

La chute intervient dans une semaine déjà difficile. Le bitcoin et l’ether reculent nettement depuis plusieurs jours ; nous avons consacré un point distinct au krach crypto de cette semaine. L’essentiel de la perte du KAVA s’explique toutefois clairement par l’exploit et la vague de ventes sur la BNB Chain.

Upbit, Bithumb et Coinone : les plateformes suspendent les transferts de KAVA

Trois grandes plateformes sud-coréennes ont réagi dès le 14 novembre. Upbit a suspendu les dépôts et retraits de KAVA, assorti le jeton d’un avertissement pour volatilité accrue et l’a placé sur sa liste de surveillance en vue d’un éventuel retrait de la cote. Bithumb et Coinone ont également stoppé les transferts. Selon Cryptonews, Bithumb a maintenu les échanges pendant la suspension, et Coinone a précisé que ses autres services n’étaient pas concernés. Le même week-end, Coinone devait en outre gérer sa propre fuite de données chez un prestataire du service client.

Une suspension des transferts protège les clients contre le dépôt de jetons dont la situation reste incertaine. Mais elle signifie aussi que quiconque détient des KAVA sur l’une de ces plateformes ne peut pas les retirer pour l’instant et peut tout au plus les y vendre.

Comment vous protéger des exploits sur les protocoles de prêt DeFi

Ce qui s’est passé : dans la nuit du 13 au 14 novembre 2026, un attaquant a utilisé une erreur de calcul dans le marché BUSD presque vide de Kava Lend pour emprunter environ 55,2 millions de KAVA, soit près de 3,8 millions de dollars au cours d’avant l’attaque selon The Block. Après un passage par le pont LayerZero, il a vendu environ 49,2 millions de KAVA sur la BNB Chain pour environ 2,1 millions de dollars (au 15 novembre).

Êtes-vous concerné ? Sont surtout touchés les déposants qui ont prêté des KAVA dans Kava Lend : selon Bitquery, le pool devait le 14 novembre environ 55,2 millions de KAVA aux déposants, mais n’en détenait plus que 0,19. Si vous détenez des KAVA uniquement dans votre propre portefeuille ou sur une plateforme, vous n’avez pas perdu de jetons dans l’attaque, mais vous subissez la baisse du cours. Kava n’a pas encore indiqué si et comment les déposants seront indemnisés.

1. Aucun nouveau dépôt en BUSD : Bitquery prévient que la créance BUSD gonflée de l’attaquant subsiste et que de nouveaux dépôts en BUSD dans Kava Lend pourraient être siphonnés par lui. N’y déposez rien avant la publication du rapport d’incident.
2. Uniquement les canaux officiels : attendez-vous à de faux « portails de remboursement » et à des messages directs au nom de Kava ; ne consultez les informations sur l’indemnisation que sur le site officiel et le compte X vérifié du projet.
3. Révoquer les autorisations : si vous avez utilisé le même portefeuille EVM sur la BNB Chain ou auprès d’autres services de prêt, vérifiez les autorisations de jetons ouvertes avec un outil comme Revoke.cash et révoquez tout ce dont vous n’avez plus besoin.
4. Pas de transferts à l’aveugle : n’envoyez pas de KAVA vers Upbit, Bithumb ou Coinone tant que leur suspension des transferts est en vigueur, ni via le pont Axelar avant que Kava ne le rouvre.
5. Des portefeuilles séparés : créez pour le prêt DeFi un portefeuille dédié avec un petit montant, et conservez l’essentiel de vos cryptos sur un portefeuille matériel jamais connecté à des contrats de prêt.

Notre guide Conserver ses cryptos en sécurité explique les bases d’une conservation sûre, et notre comparatif des portefeuilles matériels présente les appareils adaptés.

Le KAVA en Allemagne : peu de plateformes depuis le retrait de Bitvavo

Pour les investisseurs en Allemagne, le KAVA est déjà plus difficile à négocier depuis plusieurs semaines. Bitvavo, l’une des grandes plateformes européennes agréées MiCA, a retiré le KAVA de son offre le 18 septembre, comme nous l’indiquions le 16 septembre 2026 ; les détails figurent dans notre article sur le retrait de Kava, Nano et Ravencoin chez Bitvavo. Qui veut aujourd’hui acheter ou vendre des KAVA se retrouve donc souvent sur des plateformes hors de la surveillance européenne.

Après un incident de ce type, il est d’autant plus utile de vérifier l’agrément. Une plateforme agréée MiCA doit conserver les fonds de ses clients séparément et relève de la surveillance d’une autorité européenne, en Allemagne la BaFin. Notre comparatif des plateformes crypto réglementées indique quels prestataires disposent de cet agrément. Un agrément ne protège pas pour autant contre les failles d’un protocole de prêt : Kava Lend est un service décentralisé, sans garantie des dépôts comme dans une banque.

Risque du prêt DeFi : pourquoi les marchés presque vides sont dangereux

Le cas Kava Lend suit un schéma qui revient régulièrement dans les protocoles de prêt décentralisés. Un marché que presque plus personne n’utilise reste techniquement ouvert. Comme il contient peu d’argent, de petits montants suffisent à faire bouger des indicateurs tels que l’offre nette. Si le code ne calcule pas proprement à cet endroit, un marché marginal devient un levier sur l’ensemble du pool.

Pour les déposants, cela signifie que le risque ne tient pas seulement à la crypto que vous prêtez, mais à l’ensemble du protocole et de ses marchés. Selon Bitquery, une erreur dans le marché BUSD a suffi pour siphonner les dépôts en KAVA d’autres utilisateurs. Chez les prestataires centralisés, le risque se situe ailleurs, par exemple dans la conservation par l’entreprise. Notre comparatif du prêt crypto présente les offres existantes et la manière dont elles gèrent intérêts et garanties.

Trois questions aident à évaluer tout protocole de prêt. Combien de marchés compte-t-il, et les marchés inactifs sont-ils fermés ? Le code a-t-il fait l’objet d’audits de sécurité récents ? Existe-t-il une réserve qui couvre les pertes des déposants ? S’il manque une réponse, un montant plus modeste est le choix le plus prudent.

Rapport d’incident de Kava : les questions encore en suspens

Dimanche après-midi, Kava n’avait publié ni montant officiel du préjudice ni analyse des causes. La principale inconnue est de savoir si les déposants de Kava Lend seront indemnisés, et avec quels fonds. On ignore aussi quand le pont Axelar sera rouvert et si le marché BUSD défaillant sera fermé ou le code modifié.

Pour les plateformes coréennes, la reprise des transferts dépend précisément de ce rapport. Upbit a en outre placé le KAVA sur sa liste de surveillance ; un retrait de la cote y ferait perdre l’une des principales places de négociation restantes. Si vous détenez des KAVA, attendez le rapport avant de réorganiser vos positions et ne vous laissez pas entraîner par les variations de cours, dans un sens comme dans l’autre.

Exploit de Kava Lend : sans rapport d’incident, le préjudice reste inconnu

Avec environ 3,8 millions de dollars, l’attaque contre Kava Lend n’est pas un piratage majeur, mais elle frappe durement les déposants du pool. D’ici à ce que Kava présente le rapport annoncé, trois mesures sont judicieuses :

1. Vérifiez où se trouvent vos cryptos et séparez les avoirs placés en prêt de vos positions de long terme. Pour ces dernières, un portefeuille matériel de notre comparatif des portefeuilles matériels convient.
2. Si vous souhaitez continuer à percevoir des intérêts sur vos cryptos, comparez prestataires, garanties et responsabilité avant tout dépôt. Le comparatif du prêt crypto vous y aide.
3. Négociez le KAVA et les autres cryptos de préférence via une plateforme agréée dans l’UE. La liste des plateformes crypto réglementées indique quels prestataires disposent d’un agrément MiCA.

(Au 15 novembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)