Pragma признала 6 ценовых фидов критическим риском после эксплойта на $3,5 млн в Starknet-кредитовании

Поставщик оракулов Pragma в оценке от 18 сентября отнёс 6 из 22 основных фидов цен и ставок в мейннете к категории критического риска. Компания предупредила кредитные протоколы: наличие котировки токена само по себе не означает, что залог реально удастся продать и закрыть долг. Отчёт о ликвидности вышел после инцидента 17 сентября в Nostra — кредитном протоколе в сети Starknet. По данным Nostra, из'за манипуляции оракульной ценой NSTR один аккаунт смог занять активы примерно на $3,5 млн, используя NSTR в качестве обеспечения. К критическим Pragma отнесла фиды BROTHER, DAI, DOG, EKUBO, LORDS и NSTR. Ещё девять фидов получили статус высокого риска. При этом оценка не утверждает, что каждый из перечисленных фидов действительно используется как залог. Почему одной цены от оракула недостаточно Оракул даёт оценку стоимости. Ликвидация требует продажи залога, а тонкий рынок может не поглотить такую продажу по цене, близкой к заявленной в котировке. В результате займ может выглядеть обеспеченным по "бумажной" стоимости, которая не реализуется в момент, когда погашение зависит от продажи токена. По замерам Pragma, при объёмах, которые оракул оценивал в $10 000, ухудшение sell-quote по сравнению с котировками для продажи на $10 составило около 15% для NSTR, 17% для EKUBO, 22% для LORDS и 20% для BROTHER. Снимок от 18 сентября также показывает деградацию ориентировочных котировок на продажу $10 000 на 15–22% относительно котировок на $10 по четырём токенам. По DAI вывод связан с концентрацией источников и протестированными маршрутами токена в Starknet. Текущие и устаревшие развёртывания демонстрировали разные "кривые выхода", поэтому критический рейтинг нельзя трактовать как утверждение, что DAI в целом неликвиден. Pragma отдельно отмечает: даже несколько "ярлыков" источников не гарантируют независимость. Издатели и агрегаторы могут опираться на одни и те же базовые рынки, поэтому разные источники способны отражать перекрывающуюся ликвидность. В описании инцидента от 17 сентября Pragma сообщила, что на ответ оракула повлияли два источника. По оценке провайдера, требование обязательного минимума в три источника позволило бы отклонить этот ответ. В рекомендациях по интеграции также упоминаются проверки актуальности данных и пороги, соответствующие риску актива. Отбраковка проблемного ответа — отдельная линия защиты и не заменяет анализа того, достаточно ли у залога ликвидности для продажи. Pragma связала отклоняющееся значение с манипулированным ончейн-пулом и указала, что реконструкция не выявила ошибок в decimals или расчёте медианы. Для пользователей немедленным последствием стали ограничения доступа. В заявлении от 17 сентября Nostra сообщила о приостановке кредитования, заимствований, выводов и ликвидаций на время сверки последствий и отслеживания средств. Окончательный размер потерь и потенциальные возвраты на тот момент оставались неизвестными. В объявлении от 17 сентября дальнейший статус выводов и восстановления не подтверждён. В тот же день Pragma отдельно заявила, что адрес атакующего был заморожен и работа по возврату продолжается. Отчёт оставляет кредиторам практический выбор, выходящий за рамки простого факта наличия фида: какие активы допустимы в качестве обеспечения, какой лимит экспозиции устанавливать и сможет ли ликвидность "выхода" поддержать ликвидацию. Публикация цены сама по себе не решает ни один из этих вопросов.