Pragma ha clasificado seis de sus 22 feeds principales de mercado y tipos en Starknet como de “riesgo crítico” tras el ataque que permitió retirar aproximadamente 3,5 millones de dólares de activos de Nostra, un protocolo de préstamos de la red. El proveedor de oráculos advierte de que disponer de un precio para un token no garantiza que ese activo pueda venderse después por un importe suficiente para cubrir un préstamo.
La evaluación, fechada el 18 de septiembre, sitúa en esa categoría a BROTHER, DAI, DOG, EKUBO, LORDS y NSTR. Otros nueve feeds fueron considerados de riesgo alto. La clasificación no implica que todos esos tokens se utilicen como garantía en protocolos de préstamo.
El ataque aprovechó una valoración manipulada de NSTR
El incidente se produjo el 17 de septiembre en Nostra. Según el relato publicado por la propia cuenta del protocolo, un precio manipulado en el oráculo de NSTR permitió a una cuenta pedir prestados alrededor de 3,5 millones de dólares en otros activos utilizando NSTR como garantía.
Pragma atribuyó la desviación a un pool en cadena manipulado. En su reconstrucción, el proveedor dijo no haber detectado errores en los decimales ni en el cálculo de la mediana. También señaló que la respuesta afectada se apoyaba en dos fuentes y que exigir un mínimo de tres habría permitido rechazarla.
La integración de un oráculo, añadió Pragma, debería incorporar controles sobre la antigüedad de los datos y umbrales adaptados al riesgo de cada activo. Sin embargo, descartar un precio anómalo no resuelve por sí solo otro problema: que exista suficiente liquidez para vender la garantía cuando llega una liquidación.
Un precio disponible no asegura una liquidación viable
Un oráculo ofrece una valoración, pero la liquidación exige ejecutar una venta. Si el mercado es estrecho, una orden relativamente grande puede provocar un deterioro significativo del precio y dejar al protocolo con menos fondos de los necesarios para recuperar el préstamo.
La instantánea de Pragma comparó las cotizaciones indicativas de venta de 10.000 dólares con las de operaciones de 10 dólares. La diferencia se situó en torno al 15% para NSTR, el 17% para EKUBO, el 22% para LORDS y el 20% para BROTHER. En esos cuatro tokens, las cotizaciones para una venta de 10.000 dólares empeoraban entre un 15% y un 22% frente a las operaciones de menor tamaño.
El caso de DAI responde, según el informe, a la concentración de las fuentes y a las rutas de tokens analizadas en Starknet. Pragma subraya que sus despliegues actuales y anteriores mostraban curvas de salida diferentes, por lo que la calificación crítica no debe interpretarse como una afirmación de que DAI sea ilíquido en todos los mercados.
El proveedor también advierte de que multiplicar las etiquetas de fuentes no elimina necesariamente el riesgo. Distintos publicadores o agregadores pueden depender de los mismos mercados subyacentes y reflejar, en la práctica, una liquidez parcialmente solapada.
Nostra mantiene sin confirmar el desenlace de los fondos
Tras el ataque, Nostra comunicó que había pausado los préstamos, las solicitudes de crédito, las retiradas y las liquidaciones mientras evaluaba el impacto y rastreaba los fondos. En ese momento, el protocolo indicó que las pérdidas definitivas y las posibles recuperaciones aún no estaban determinadas.
La comunicación del 17 de septiembre no permite confirmar cuál es el estado posterior de las retiradas ni de la recuperación. Por separado, Pragma informó ese mismo día de que la dirección del atacante había sido congelada y de que las labores de recuperación seguían en marcha.
El episodio deja una cuestión que va más allá de si un oráculo publica un precio: qué activos pueden aceptarse como garantía, qué exposición debe asumir un protocolo y si la liquidez disponible permite venderlos sin que el valor se desmorone. La existencia de una cotización, por sí sola, no responde a ninguna de esas preguntas.
