Pragma alerta de 6 feeds de precios de "riesgo crítico" tras un exploit de préstamos en Starknet por 3,5 millones de dólares

Pragma, proveedor de oráculos, catalogó 6 de sus 22 feeds principales de mercado y tipos en mainnet como de "riesgo crítico" en una evaluación fechada el 18 de septiembre. El informe advierte a los prestamistas de que disponer de un precio para un token no implica que ese colateral pueda venderse realmente para cubrir un préstamo. El análisis de liquidez se publicó un día después del incidente del 17 de septiembre en Nostra, un protocolo de lending en Starknet. Según la comunicación de Nostra, la manipulación del precio del oráculo de NSTR permitió que una cuenta pidiera prestados aproximadamente 3,5 millones de dólares en otros activos aportando NSTR como garantía. En la categoría crítica, Pragma situó a BROTHER, DAI, DOG, EKUBO, LORDS y NSTR. Otros nueve feeds quedaron clasificados como de alto riesgo. El informe precisa que no puede asumirse que todos los feeds listados se utilicen necesariamente como colateral. Por qué el precio del oráculo no basta Un oráculo aporta una valoración. La liquidación exige vender el colateral, y un mercado con poca profundidad puede no absorber esa venta cerca del precio cotizado. Un préstamo puede estar respaldado por un valor aparente que no se materializa cuando el repago depende de vender el token. En cantidades que el oráculo valoraba en 10.000 dólares, el deterioro del precio de venta (sell quote) fue de alrededor del 15% en NSTR, 17% en EKUBO, 22% en LORDS y 20% en BROTHER, en comparación con las cotizaciones para ventas de 10 dólares. En la foto fija del 18 de septiembre, Pragma señaló que, para esos cuatro tokens, las cotizaciones indicativas de venta por 10.000 dólares empeoraban entre un 15% y un 22% frente a las de 10 dólares. En el caso de DAI, la advertencia se centra en la concentración de fuentes y en las rutas de token probadas en Starknet. Pragma añade que los despliegues actuales y heredados mostraban curvas de salida distintas, por lo que la calificación crítica no debe interpretarse como que DAI sea globalmente ilíquido. La firma también subraya que etiquetar varias fuentes no garantiza la solución: editores y agregadores pueden depender de los mismos mercados subyacentes, de modo que varias etiquetas pueden reflejar una liquidez solapada. En su relato del incidente del 17 de septiembre, Pragma indicó que la respuesta del oráculo afectada se apoyaba en dos fuentes contribuyentes. El proveedor afirmó que exigir un mínimo de tres fuentes la habría descartado, y que su guía de integración recomienda comprobaciones de frescura y umbrales adaptados al riesgo de cada activo. Aun así, rechazar una respuesta anómala es una protección distinta a confirmar que el colateral tiene liquidez suficiente para liquidarse. Pragma atribuyó el dato desviado a un pool on-chain manipulado y aseguró que su reconstrucción no encontró errores de decimales ni de cálculo de la mediana. Para los depositantes, la consecuencia inmediata fue el acceso restringido. En su comunicado del 17 de septiembre, Nostra informó de que pausó préstamos, endeudamiento, retiradas y liquidaciones mientras conciliaba el impacto y rastreaba los fondos. Señaló que las pérdidas finales y las posibles recuperaciones seguían siendo desconocidas. Ese anuncio no confirma el estado posterior de las retiradas ni el avance de la recuperación. En una actualización separada ese mismo día, Pragma comunicó que la dirección del atacante había sido congelada y que el trabajo de recuperación continuaba. El informe deja a los prestamistas ante decisiones que van más allá de la mera existencia de un feed: qué activos aceptar como colateral, qué nivel de exposición permitir y si la liquidez de salida soporta una liquidación. Publicar un precio, por sí solo, no resuelve ninguna de esas cuestiones.