Pragma cảnh báo 6 nguồn giá ở mức rủi ro nghiêm trọng sau vụ khai thác cho vay Starknet trị giá 3,5 triệu USD

Trong báo cáo đánh giá ngày 18/9, nhà cung cấp oracle Pragma xếp 6/22 nguồn dữ liệu giá và lãi suất trên mainnet vào nhóm "rủi ro nghiêm trọng". Pragma lưu ý với các bên cho vay rằng việc một token có giá tham chiếu không đồng nghĩa tài sản thế chấp có thể bán được để bù đắp khoản vay. Báo cáo thanh khoản được công bố sau sự cố ngày 17/9 tại Nostra, một giao thức cho vay trên Starknet. Theo thông tin từ tài khoản của Nostra, kẻ tấn công đã thao túng giá oracle của NSTR, qua đó dùng NSTR làm tài sản thế chấp để vay khoảng 3,5 triệu USD giá trị các tài sản khác. Pragma đưa BROTHER, DAI, DOG, EKUBO, LORDS và NSTR vào nhóm rủi ro nghiêm trọng, đồng thời xếp thêm chín nguồn dữ liệu khác vào nhóm rủi ro cao. Đánh giá này không khẳng định mọi nguồn dữ liệu được nêu đều đang được dùng làm tài sản thế chấp. Vì sao chỉ có giá oracle là chưa đủ Oracle cung cấp định giá, còn thanh lý đòi hỏi phải bán tài sản thế chấp. Nếu thị trường mỏng, lệnh bán có thể không khớp gần mức giá được báo, khiến khoản vay dựa trên "giá trị trên giấy" không chuyển hóa được thành tiền khi cần hoàn trả bằng cách bán token. Với quy mô token mà oracle định giá tương đương 10.000 USD, mức suy giảm báo giá bán (sell quote) so với các báo giá cho lệnh bán 10 USD lần lượt khoảng 15% với NSTR, 17% với EKUBO, 22% với LORDS và 20% với BROTHER. Ảnh chụp (snapshot) ngày 18/9 của Pragma cho thấy báo giá bán tham chiếu ở mức 10.000 USD giảm 15% đến 22% so với báo giá 10 USD trên bốn token này. Đối với DAI, Pragma nhấn mạnh rủi ro đến từ mức độ tập trung nguồn dữ liệu và các tuyến hoán đổi token trên Starknet đã được thử nghiệm. Các triển khai hiện tại và bản triển khai cũ có đường cong thoát lệnh khác nhau, vì vậy việc xếp DAI vào nhóm nghiêm trọng không nên được hiểu là kết luận DAI kém thanh khoản trên phạm vi toàn cầu. Pragma cũng cho rằng có nhiều nhãn nguồn dữ liệu chưa chắc giải quyết được vấn đề, do các nhà xuất bản và đơn vị tổng hợp có thể cùng phụ thuộc vào những thị trường cơ sở giống nhau; vì vậy nhiều nhãn có thể chỉ phản ánh thanh khoản bị chồng lấp. Trong bản tường trình sự cố ngày 17/9, Pragma cho biết phản hồi oracle bị ảnh hưởng có hai nguồn đóng góp. Nhà cung cấp này nói rằng nếu áp dụng yêu cầu tối thiểu ba nguồn, phản hồi đó đã bị loại. Hướng dẫn tích hợp của Pragma cũng khuyến nghị kiểm tra độ mới (freshness) và thiết lập ngưỡng phù hợp với mức rủi ro của từng tài sản. Dù vậy, việc loại bỏ một phản hồi oracle chỉ là một lớp bảo vệ riêng, không thay thế cho việc đánh giá liệu tài sản thế chấp có đủ thanh khoản để bán khi thanh lý hay không. Pragma quy trách nhiệm đầu vào lệch chuẩn cho một pool on-chain bị thao túng và cho biết quá trình tái dựng không phát hiện lỗi về số thập phân hoặc tính trung vị. Với người gửi tiền, hệ quả trước mắt là quyền truy cập bị hạn chế. Trong thông báo ngày 17/9, Nostra cho biết đã tạm dừng hoạt động cho vay, đi vay, rút tiền và thanh lý để đối soát tác động và truy vết dòng tiền; thiệt hại cuối cùng và khả năng thu hồi vẫn chưa xác định. Thông báo này cũng không xác nhận tình trạng rút tiền và phục hồi sau đó. Cùng ngày, Pragma cập nhật riêng rằng địa chỉ của kẻ tấn công đã bị đóng băng và công tác thu hồi đang được triển khai. Báo cáo của Pragma đặt ra bài toán cho các bên cho vay vượt ra ngoài câu hỏi "có feed hay không": tài sản nào đủ điều kiện làm thế chấp, mức phơi nhiễm cho phép là bao nhiêu, và thanh khoản thoát lệnh có đủ để hỗ trợ thanh lý hay không. Việc công bố giá không tự thân giải quyết được các câu hỏi này. Bài viết "Pragma flags 6 price feeds as critical risk following $3.5M Starknet lending exploit" xuất hiện đầu tiên trên CryptoSlate.