Kava Lend-exploit: aanvaller haalt 55 miljoen KAVA uit de uitleenpool

Een aanvaller heeft de uitleenpool van Kava Lend in de nacht van 13 op 14 november 2026 bijna volledig leeggehaald. Volgens een on-chain-analyse van The Block leende hij zo'n 55,2 miljoen KAVA, tegen de koers van voor de aanval ongeveer 3,8 miljoen dollar. Dat was mogelijk door een nauwelijks gebruikte markt voor de stablecoin BUSD, waarin een rekenfout de inleg ongeveer 243.000 keer opblies. De KAVA-token verloor binnen een dag meer dan 40 procent en drie Koreaanse exchanges stopten stortingen en opnames.

Heb je KAVA of staat er tegoed in Kava Lend, dan moet je nu vooral twee dingen weten. Volgens het project zijn er geen nieuwe tokens aangemaakt, maar de inleggers van de pool kijken wel tegen een gat aan. Een officieel schaderapport ontbrak zondagmiddag nog.

Kava Lend-exploit: wat er in de nacht van 14 november gebeurde

Kava is een layer-1-blockchain die techniek uit de wereld van Ethereum en Cosmos combineert. De token KAVA wordt gebruikt voor staking, betaalt transactiekosten en geeft stemrecht bij het bestuur van het netwerk. Kava Lend is het eigen uitleenprotocol. Een uitleenprotocol is een toepassing waarin gebruikers munten inleggen en daar rente over krijgen, terwijl andere gebruikers tegen onderpand munten lenen.

Juist dit protocol werd getroffen. Volgens de analyse van The Block leende de aanvaller zo'n 55,2 miljoen KAVA uit de pool, nadat hij zijn eigen inleg kunstmatig had opgeblazen. Dataleverancier Bitquery kwam in een eigen analyse, waarover Cryptonews bericht, op hetzelfde brutobedrag uit. Na terugbetaling van andere leningen hielden de twee betrokken wallets 53,9 miljoen KAVA over, tegen de koers van voor de uitverkoop ongeveer 3,7 miljoen dollar. De bandbreedte van 3,7 tot 3,8 miljoen dollar beschrijft dus de waarde van de geleende tokens vóór de koersval, niet de opbrengst van de aanvaller.

Kava bevestigde het incident zelf op X. In het bericht van het account @KAVA_CHAIN staat: „This is not an infinite mint. The event is isolated and contained within Kava Lend.” Vertaald: er zouden geen onbeperkt nieuwe tokens zijn geslagen en het incident blijft beperkt tot Kava Lend. Het team kondigde een volledig rapport over het incident aan zodra dat klaar is.

De BUSD-markt als zwakke plek: hoe de rentefout de inleg opblies

BUSD is een aan de Amerikaanse dollar gekoppelde stablecoin die uitgever Paxos sinds 2023 niet meer uitgeeft. De BUSD-markt in Kava Lend was daardoor bijna leeg. Daar zat het probleem.

Kava Lend verdeelt de rente die leners betalen over de inleggers. Daarvoor deelt de code de nieuw opgebouwde rente door het nettoaanbod van de markt, dus contanten plus uitstaande leningen min reserves. Volgens de analyse van The Block slaat de openbaar in te zien code die deling over als de noemer precies nul is. Bij een piepkleine positieve waarde rekent hij echter gewoon door. De aanvaller drukte het nettoaanbod van de BUSD-markt met een kleine lening net boven nul. Het gevolg: elke BUSD-inleg gold ineens als ongeveer 243.000 keer zoveel waard.

Met dat opgeblazen onderpand leende de aanvaller steeds opnieuw KAVA. Bitquery beschrijft een tweede deel van de aanval: een hulpwallet leende KAVA, waarna de leningen ervan werden geliquideerd, hoewel er nauwelijks nog BUSD als dekking was. Daardoor ontstond weer ruimte onder het plafond voor KAVA-leningen, en het patroon liet zich 127 keer herhalen.

Vakmensen noemen dit een exploit: een aanvaller benut een zwakke plek in de code, zonder wachtwoorden te stelen of servers te kraken. Formeel houdt elke afzonderlijke transactie zich aan de regels van het smart contract, alleen leiden die regels samen tot een uitkomst die niemand wilde.

LayerZero-brug naar BNB Chain: waar de geleende KAVA naartoe gingen

Na de aanval bracht de aanvaller het grootste deel van de buit naar een andere blockchain. Volgens The Block gingen zo'n 49,2 miljoen KAVA via de brug van LayerZero naar BNB Chain. Een brug is een dienst die tokens van de ene blockchain naar de andere overzet. Daar verkocht de aanvaller het grootste deel voor ongeveer 2,1 miljoen dollar. Die verkopen drukten de koers nog verder.

Kava pauzeerde daarop uit voorzorg de opnames via de Axelar-brug. Dat is een andere brug dan die waarlangs de buit werkelijk wegvloeide. Voor gebruikers betekent dat: wie nu KAVA of andere tokens via Axelar van Kava wil weghalen, moet wachten tot het team de brug weer vrijgeeft.

KAVA koers na de exploit: min 48 procent in zeven dagen

De koers reageerde fel. Volgens CoinGecko-data die Cryptonews aanhaalt, zakte KAVA op 14 november van zo'n 0,068 dollar naar 0,0362 dollar, een daling van 46,6 procent in 24 uur. Op zondagmiddag 15 november stond KAVA volgens CoinPaprika op 0,0353 dollar. Over zeven dagen bedraagt het verlies daarmee zo'n 48 procent, terwijl de koers de afgelopen 24 uur nauwelijks bewoog. De marktkapitalisatie bedraagt nog maar zo'n 38 miljoen dollar, waarmee KAVA op plaats 385 van de grootste cryptomunten staat.

De val komt in een week die toch al zwak was. Bitcoin en Ether leveren al dagen flink in; een overzicht van de crypto crash van deze week hebben we apart gemaakt. Het grootste deel van het KAVA-verlies komt echter duidelijk door de exploit en de uitverkoop op BNB Chain.

Upbit, Bithumb en Coinone: exchanges stoppen KAVA-transfers

Drie grote exchanges in Zuid-Korea reageerden nog op 14 november. Upbit schortte stortingen en opnames van KAVA op, voorzag de token van een waarschuwing wegens verhoogde koersschommelingen en zette hem op de volglijst voor een mogelijke delisting. Bithumb en Coinone stopten eveneens de transfers. Bithumb liet de handel volgens Cryptonews tijdens de blokkade doorlopen, Coinone verklaarde dat andere diensten niet getroffen waren. Coinone had hetzelfde weekend bovendien te maken met een eigen datalek bij een klantenservice-dienstverlener.

Een transferstop beschermt klanten ertegen dat ze tokens storten waarvan de situatie nog onduidelijk is. Maar de stop betekent ook: wie KAVA op een van deze exchanges heeft staan, kan ze nu niet opnemen en hooguit daar verkopen.

Zo bescherm je je tegen exploits bij DeFi-uitleenprotocollen

Wat er gebeurde: in de nacht van 13 op 14 november 2026 misbruikte een aanvaller een rekenfout in de bijna lege BUSD-markt van Kava Lend en leende zo'n 55,2 miljoen KAVA, volgens The Block ongeveer 3,8 miljoen dollar tegen de koers van voor de aanval. Zo'n 49,2 miljoen KAVA verkocht hij na de route via de LayerZero-brug op BNB Chain voor ongeveer 2,1 miljoen dollar (peildatum 15 november).

Ben jij getroffen? Vooral inleggers die KAVA in Kava Lend hebben uitgeleend, zijn de klos: volgens Bitquery was de pool de inleggers op 14 november zo'n 55,2 miljoen KAVA verschuldigd, maar had hij nog maar 0,19 KAVA in kas. Heb je KAVA alleen in je eigen wallet of op een exchange, dan heb je door de aanval geen tokens verloren, wel de koersdaling. Of en hoe inleggers worden gecompenseerd, heeft Kava nog niet laten weten.

1. Geen nieuwe BUSD-inleg: Bitquery waarschuwt dat de opgeblazen BUSD-claim van de aanvaller nog bestaat en dat nieuwe BUSD-inleg in Kava Lend door hem kan worden weggehaald. Stort daar niets tot het incidentrapport er is.
2. Alleen officiële kanalen: reken op nep-„terugbetalingsportalen” en directe berichten namens Kava; lees informatie over compensatie alleen op de officiële website en het geverifieerde X-account van het project.
3. Goedkeuringen intrekken: heb je met dezelfde EVM-wallet op BNB Chain of bij andere uitleendiensten gewerkt, controleer dan openstaande token-goedkeuringen met een tool als Revoke.cash en trek alles in wat je niet meer nodig hebt.
4. Geen transfers in het ongewisse: stuur geen KAVA naar Upbit, Bithumb of Coinone zolang hun transferstop geldt, en niet via de Axelar-brug tot Kava die weer vrijgeeft.
5. Gescheiden wallets: gebruik voor DeFi-lending een aparte wallet met een klein bedrag en houd het grootste deel van je munten op een hardware wallet die nooit met uitleencontracten verbonden is.

De basis van veilig bewaren lees je in onze gids crypto veilig bewaren, de geschikte apparaten zet onze hardware wallet-vergelijking naast elkaar.

Wil je KAVA of andere munten verhandelen, kies dan een aanbieder met MiCA-vergunning; welke dat zijn, zie je in onze vergelijking bitcoin kopen.

Risico van DeFi-lending: waarom bijna lege markten gevaarlijk zijn

Het geval Kava Lend volgt een patroon dat bij gedecentraliseerde uitleenprotocollen steeds weer opduikt. Een markt die bijna niemand meer gebruikt, blijft technisch open. Omdat er weinig geld in zit, zijn kleine bedragen al genoeg om kengetallen als het nettoaanbod te verschuiven. Rekent de code op zo'n plek niet zuiver, dan wordt een randmarkt een hefboom op de hele pool.

Voor inleggers betekent dit: het risico zit niet alleen in de munt die je uitleent, maar in het hele protocol met al zijn markten. Volgens Bitquery was één fout in de BUSD-markt genoeg om de KAVA-inleg van andere gebruikers weg te halen. Bij centrale aanbieders ligt het risico ergens anders, bijvoorbeeld bij de bewaring door het bedrijf. Welke uitleenaanbiedingen er zijn en hoe ze rente en onderpand regelen, verschilt sterk per platform; vergelijk dat altijd zelf voordat je inlegt.

Drie vragen helpen bij elk uitleenprotocol. Hoeveel markten zijn er, en zijn dode markten gesloten? Zijn er recente beveiligingscontroles van de code, zogeheten audits? En is er een reserve waaruit verliezen van inleggers worden gedekt? Ontbreekt een antwoord, dan is een kleiner bedrag de voorzichtigere keuze.

Kava-incidentrapport: welke vragen nog openstaan

Tot zondagmiddag heeft Kava geen officieel schadebedrag en geen oorzaakanalyse gepubliceerd. Vooral is onduidelijk of de inleggers van Kava Lend worden gecompenseerd en uit welke middelen. Ook is onduidelijk wanneer de Axelar-brug weer wordt vrijgegeven en of de foutieve BUSD-markt wordt gesloten of de code wordt aangepast.

Voor de Koreaanse exchanges hangt de hervatting van de transfers precies van dit rapport af. Upbit heeft KAVA bovendien op zijn volglijst gezet; een delisting daar zou een van de belangrijkste overgebleven handelsplaatsen kosten. Heb je KAVA, wacht dan het rapport af voordat je posities omgooit, en laat je niet opjagen door koersuitschieters in de ene of de andere richting.

Kava Lend-exploit: zonder incidentrapport blijft de schade onduidelijk

Met zo'n 3,8 miljoen dollar is de aanval op Kava Lend geen grote hack, maar voor de inleggers van de pool wel een zware klap. Tot Kava het aangekondigde rapport presenteert, zijn drie stappen verstandig:

1. Controleer waar je munten staan en scheid uitleentegoed van je langetermijnbezit. Voor dat bezit is een hardware wallet uit onze hardware wallet-vergelijking geschikt.
2. Wil je rente blijven verdienen op crypto, vergelijk dan aanbieders, onderpand en aansprakelijkheid voordat je inlegt.
3. Handel KAVA en andere munten zo mogelijk via een exchange met EU-vergunning. Kijk daarbij of de aanbieder een MiCA-vergunning heeft.

(Per 15 november 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)