Pragma ha clasificado seis de sus 22 principales feeds de mercado y tipos desplegados en la red principal como de «riesgo crítico», un día después del ataque que permitió tomar prestados unos 3,5 millones de dólares en activos dentro del protocolo de préstamos Nostra, en Starknet. La firma de oráculos advierte de que disponer de un precio para un token no demuestra que ese activo pueda venderse después por un importe suficiente para cubrir el préstamo.
Seis activos quedan bajo vigilancia crítica
La evaluación, fechada el 18 de septiembre, sitúa en la categoría de riesgo crítico a BROTHER, DAI, DOG, EKUBO, LORDS y NSTR. Otros nueve feeds fueron considerados de riesgo alto. El informe no determina que todos los activos incluidos en la lista se estén utilizando como garantía en protocolos de préstamo.
El análisis se publicó después del incidente comunicado por Nostra el 17 de septiembre. Según el relato del protocolo, el precio de NSTR proporcionado por un oráculo fue manipulado y permitió a una cuenta pedir prestados aproximadamente 3,5 millones de dólares en otros activos utilizando NSTR como garantía.
Pragma atribuyó la desviación a la manipulación de un fondo de liquidez en cadena. La reconstrucción realizada por el proveedor no detectó errores en los decimales ni en el cálculo de la mediana. La firma añadió que la respuesta afectada habría sido rechazada si se hubiera exigido un mínimo de tres fuentes.
Un precio publicado no garantiza una liquidación viable
La cuestión central del informe es la diferencia entre valorar una garantía y poder venderla. Un oráculo ofrece una referencia de precio, pero la liquidación exige encontrar compradores para el volumen necesario. Si el mercado es poco líquido, una venta relativamente grande puede provocar un descenso sustancial frente a la cotización utilizada para valorar el préstamo.
Pragma comparó las cotizaciones indicativas de venta para órdenes de 10 dólares y de 10.000 dólares. En cuatro de los tokens analizados, el deterioro fue de entre el 15% y el 22%: un 15% en NSTR, un 17% en EKUBO, un 22% en LORDS y un 20% en BROTHER. La medición refleja cómo cambia el precio disponible cuando aumenta el tamaño de la operación, no una pérdida registrada por los tenedores de esos activos.
El caso de DAI responde a otros factores, relacionados con la concentración de las fuentes y con las rutas de tokens examinadas en Starknet. Pragma señaló que sus despliegues actuales y antiguos mostraban curvas de salida diferentes. Por tanto, la clasificación crítica no equivale a afirmar que DAI tenga una iliquidez generalizada en todos los mercados.
El proveedor también matizó que utilizar varias fuentes o etiquetas no elimina necesariamente el riesgo. Distintos publicadores y agregadores pueden depender de los mismos mercados subyacentes y reflejar, en la práctica, una liquidez solapada.
Restricciones en Nostra y recuperación aún abierta
Tras detectar el incidente, Nostra informó de la suspensión de los préstamos, las solicitudes de crédito, las retiradas y las liquidaciones mientras conciliaba el impacto y rastreaba los fondos. El protocolo indicó que las pérdidas finales y las posibles recuperaciones todavía no estaban determinadas. La comunicación del 17 de septiembre no confirma cuál era después la situación de las retiradas ni del proceso de recuperación.
Pragma comunicó por separado ese mismo día que la dirección del atacante había sido congelada y que las labores de recuperación continuaban. Como medidas de integración, recomendó comprobar la frescura de los datos y aplicar umbrales adaptados al riesgo de cada activo. Rechazar una respuesta anómala del oráculo, sin embargo, es una protección distinta de garantizar que la garantía tenga suficiente liquidez para ser liquidada.
El episodio deja a los operadores de protocolos una cuestión que va más allá de si existe un precio de referencia. También deben decidir qué activos aceptan como garantía, qué exposición permiten y si el mercado puede absorber una venta durante una liquidación. La publicación de una cotización, por sí sola, no resuelve ninguna de esas tres preguntas.
