Kava 블록체인의 대출 프로토콜인 Kava Lend가 익스플로잇 공격을 받아 약 5,520만 개의 KAVA 토큰이 인출됐다. The Block이 분석한 온체인 데이터에 따르면. 공격 당시 해당 토큰의 가치는 약 376만 달러였다. Kava 팀은 이번 사고가 Kava Lend에만 국한되며 무제한 토큰 발행으로 인한 것이 아니라고 밝혔다. 보도 시점 기준으로 팀은 아직 공식 피해 추정액이나 기술 보고서를 공개하지 않은 상태다.
비활성 BUSD 마켓을 통한 취약점 악용
실제로, 이번 취약점은 Paxos가 2023년 발행을 중단한 스테이블코인과 연결된 Kava Lend의 BUSD 마켓을 경유한 것으로 추정된다. The Block의 재구성에 따르면, 공격자는 해당 마켓의 예치금 가치를 조작한 뒤 부풀려진 담보를 이용해 KAVA를 차입했다. 이 과정이 127회 반복되며 프로토콜의 대출 한도를 우회했다.
탈취된 토큰 일부는 LayerZero를 통해 BNB 체인으로 전송된 후 매각됐다. The Block이 인용한 온체인 데이터에 따르면, 약 4,920만 개의 KAVA가 브리지를 통해 이동했고, 약 210만 달러 상당의 BNB 및 USDT로 교환됐다. 이는 온체인 데이터에 기반한 추정이며, 최종 피해액과 자금 이동 경로의 전모는 팀의 공식 보고서를 통해 확인돼야 한다.
KAVA 토큰 가격 급락
다시 말해, 이번 사건은 토큰 가격에도 직접적인 영향을 미쳤다. The Block에 따르면 공격 이후 KAVA는 약 40% 가까이 하락했다. 이 같은 가격 하락은 시장의 즉각적인 반응을 보여주지만, 프로토콜의 실제 피해 규모나 개별 예치자에 대한 영향을 온전히 반영하지는 않는다.
국내 투자자들도 주목할 필요가 있다. 업비트와 빗썸에 KAVA가 상장돼 있어 국내 거래량과 가격에도 영향을 줄 수 있다. 가상자산이용자보호법 체계 하에서 거래소들은 이상거래 감지 시스템을 운영 중이지만. 탈중앙화 프로토콜 익스플로잇은 DAXA 회원사의 직접적 관할 밖에 있다는 점에서 투자자 보호에 공백이 존재한다.
이번 사건은 사용 빈도가 낮거나 한계 자산과 연결된 마켓을 계속 운영하는 탈중앙화 대출 프로토콜의 위험성을 다시 한번 드러냈다. 보안은 프로토콜이 이자, 담보, 대출 한도를 계산하는 방식에도 달려 있으며, 특정 마켓의 로직 결함이 같은 시스템에 예치된 다른 자산에까지 연쇄적으로 영향을 미칠 수 있다.
Kava는 이번 사고가 Kava Lend에만 국한된다고 밝히며 “무한 민팅”을 부인했지만, 예치금 가치가 어떻게 조작될 수 있었는지, 그리고 다른 자금이 연루됐는지는 아직 명확히 밝혀지지 않았다. 현재 최우선 과제는 기술 분석 보고서 발표, 피해액 정량화, 그리고 유사 취약점 재발 방지를 위한 조치를 설명하는 것이다.
