Pragma signale 6 flux Starknet après un exploit de 3,5 M$

Pragma a classé 6 des 22 flux de marché et de taux du mainnet comme présentant un risque critique après qu'un prix manipulé de l'oracle NSTR a permis à un compte d'emprunter environ 3,5 millions de dollars d'autres actifs auprès du protocole de lending Starknet Nostra. Son évaluation du 18 septembre a rappelé que la disponibilité d'un prix pour un token ne prouve pas que la garantie puisse être vendue à cette valeur. Neuf autres flux ont été classés à risque élevé.

Pourquoi c'est important

La liste des risques critiques comprend BROTHER, DAI, DOG, EKUBO, LORDS et NSTR, même si l'évaluation n'établit pas que chaque flux soit utilisé comme garantie. La comparaison par Pragma des prix indicatifs de vente a montré une dégradation de 15 % pour NSTR, 17 % pour EKUBO, 22 % pour LORDS et 20 % pour BROTHER entre des ventes de 10 000 $ et de 10 $.

Cet écart est important, car les protocoles de lending dépendent de la liquidation, et pas seulement de la valorisation. Un oracle peut signaler une garantie de 10 000 $, mais un marché peu liquide peut ne pas absorber la vente à un prix proche de ce niveau. Plusieurs labels de publishers ou d'agrégateurs peuvent également reposer sur la même liquidité sous-jacente. La diversité des sources ne suffit donc pas à éliminer le risque. Pragma a précisé que la constatation concernant DAI portait sur la concentration des sources et sur des routes testées sur Starknet, et non sur une illiquidité mondiale de DAI.

Impact sur le marché

Nostra a indiqué avoir suspendu les prêts, les emprunts, les retraits et les liquidations pendant l'évaluation de l'incident et le suivi des fonds. Le 17 septembre, le montant définitif des pertes et les éventuelles récupérations restaient inconnus. Pragma a pour sa part déclaré que l'adresse de l'attaquant avait été gelée et que les efforts de récupération se poursuivaient.

Pragma a attribué la donnée divergente de l'oracle à un pool on-chain manipulé et n'a identifié aucune erreur liée aux décimales ou au calcul de la médiane. Selon l'entreprise, un minimum obligatoire de trois sources aurait rejeté la réponse, tandis que des contrôles de fraîcheur et des seuils spécifiques aux actifs offriraient des garde-fous distincts. Pour les prêteurs, la question essentielle n'est pas seulement de savoir si un flux existe, mais aussi si la garantie dispose d'une liquidité de sortie suffisante pour permettre sa liquidation.