Pragma juge 6 flux de prix "critiques" après un exploit de prêt de 3,5 M$ sur Starknet

Le fournisseur d'oracles Pragma a classé 6 des 22 principaux flux de marché et de taux du mainnet en "risque critique" dans une évaluation datée du 18 septembre. En toile de fond, un exploit de borrowing survenu la veille sur Nostra, protocole de lending déployé sur Starknet. Pragma rappelle qu'un prix disponible pour un token ne signifie pas que le collatéral pourra être vendu dans des conditions suffisantes pour couvrir un prêt. Selon le compte rendu de Nostra, une manipulation du prix oracle de NSTR a permis à un seul compte d'emprunter environ 3,5 millions de dollars d'autres actifs en apportant du NSTR en collatéral. À l'issue de son analyse de liquidité, Pragma place BROTHER, DAI, DOG, EKUBO, LORDS et NSTR dans la catégorie "critique", et neuf autres flux en "haut risque". L'évaluation ne confirme pas que chaque flux cité est effectivement utilisé comme collatéral. Pourquoi le prix oracle ne suffit pas Un oracle fournit une valorisation. La liquidation, elle, suppose de vendre le collatéral. Sur un marché peu profond, une vente d'ampleur peut ne pas se faire près du prix affiché. Un prêt peut ainsi sembler correctement garanti sur le papier, alors que la valeur n'est pas réalisable au moment où le remboursement dépend d'une vente du token. Pragma indique qu'à des tailles de vente correspondant à 10'000 dollars (selon la valorisation oracle), la dégradation des "sell quotes" atteignait environ 15% pour NSTR, 17% pour EKUBO, 22% pour LORDS et 20% pour BROTHER, comparée à des cotations pour des ventes de 10 dollars. Le "snapshot" du 18 septembre montre, sur ces quatre tokens, une détérioration indicative de 15% à 22% des cotations de vente à 10'000 dollars par rapport aux cotations à 10 dollars. Le cas DAI est présenté différemment: il concerne la concentration des sources et les routes de tokens Starknet testées. Pragma note que les déploiements actuels et historiques présentaient des courbes de sortie distinctes, ce qui empêche d'interpréter la note "critique" comme la preuve que DAI est illiquide au niveau mondial. L'existence de plusieurs labels de sources ne règle pas forcément le problème: éditeurs et agrégateurs peuvent dépendre des mêmes marchés sous-jacents, de sorte que plusieurs labels peuvent refléter une liquidité qui se recoupe. Dans son rapport d'incident du 17 septembre, Pragma explique que la réponse oracle affectée reposait sur deux sources contributrices. Le fournisseur estime qu'un minimum imposé de trois sources l'aurait rejetée, et rappelle que ses recommandations d'intégration incluent aussi des contrôles de fraîcheur et des seuils adaptés au risque de l'actif. Rejeter une réponse anormale constitue une protection distincte de la question de savoir si le collatéral dispose d'une liquidité de sortie suffisante pour être liquidé. Pragma attribue l'entrée divergente à un pool on-chain manipulé et précise que sa reconstitution n'a trouvé ni erreur de décimales ni erreur de calcul de médiane. Côté utilisateurs, l'effet immédiat a été une restriction d'accès. Dans un communiqué du 17 septembre, Nostra a indiqué avoir suspendu le lending, le borrowing, les retraits et les liquidations le temps d'évaluer l'impact et de tracer les fonds, ajoutant que les pertes finales et d'éventuelles récupérations restaient inconnues. Le communiqué du 17 septembre ne confirme pas l'évolution ultérieure des retraits ni de la récupération. Dans une mise à jour publiée le même jour, Pragma a indiqué séparément que l'adresse de l'attaquant avait été gelée et que les travaux de récupération se poursuivaient. Au-delà de l'existence d'un flux de prix, le rapport renvoie les prêteurs à des décisions plus structurantes: quels actifs accepter en collatéral, quel niveau d'exposition autoriser, et si la liquidité de sortie permet réellement une liquidation. Publier un prix ne tranche aucune de ces questions à lui seul.