Pragma ha clasificado seis de sus 22 principales feeds de mercado y tipos desplegados en la red principal como de “riesgo crítico”, después del ataque que permitió pedir prestados activos por aproximadamente 3,5 millones de dólares en el protocolo de préstamos Nostra, sobre Starknet.
La evaluación, fechada el 18 de septiembre, sitúa en esa categoría a BROTHER, DAI, DOG, EKUBO, LORDS y NSTR. Otros nueve feeds fueron considerados de riesgo alto. El informe no determina, sin embargo, que todos los activos incluidos se estén utilizando como garantía en protocolos de crédito.
El precio del oráculo no garantiza una liquidación
El análisis de Pragma pone el foco en una diferencia relevante para los mercados de préstamos descentralizados: que un token tenga un precio disponible no significa necesariamente que pueda venderse por ese valor cuando llega el momento de liquidar una posición.
Los oráculos proporcionan una valoración, pero la liquidación depende de la profundidad real del mercado. Si la liquidez es escasa, una venta de grandes cantidades puede provocar un deterioro considerable de la cotización. En ese escenario, un préstamo puede parecer suficientemente respaldado según el precio del oráculo y, aun así, no generar fondos suficientes para cubrir la deuda cuando se vende la garantía.
En la evaluación de Pragma, las cotizaciones indicativas de venta por 10.000 dólares empeoraban entre un 15% y un 22% frente a las cotizaciones correspondientes a ventas de 10 dólares en cuatro de los tokens analizados. La diferencia era del 15% para NSTR, del 17% para EKUBO, del 22% para LORDS y del 20% para BROTHER.
El caso de DAI responde a otro tipo de riesgo: la concentración de las fuentes y las rutas de tokens probadas en Starknet. Pragma señala que sus despliegues actuales y antiguos presentaban curvas de salida diferentes. Por eso, la clasificación crítica de DAI no debe interpretarse como una conclusión de que el activo carece de liquidez en todos los mercados.
El incidente de Nostra y las medidas de los oráculos
El 17 de septiembre, Nostra informó de que una cuenta había utilizado un precio manipulado del oráculo de NSTR para pedir prestados otros activos por un valor aproximado de 3,5 millones de dólares, utilizando NSTR como garantía. El protocolo suspendió los préstamos, las operaciones de endeudamiento, las retiradas y las liquidaciones mientras revisaba el impacto y seguía el rastro de los fondos.
En ese momento, Nostra indicó que las pérdidas definitivas y las posibles recuperaciones todavía no estaban determinadas. La información publicada el 17 de septiembre tampoco confirma cuál era el estado posterior de las retiradas ni de la recuperación de fondos. Pragma comunicó por separado que la dirección del atacante había sido congelada y que continuaban las labores de recuperación.
Según la reconstrucción de Pragma, la respuesta desviada del oráculo estuvo relacionada con un pool en cadena manipulado. El proveedor afirmó que no detectó errores en los decimales ni en el cálculo de la mediana. También señaló que la respuesta afectada contaba con dos fuentes contribuyentes y que exigir un mínimo de tres habría permitido rechazarla.
La firma recomienda además comprobar la frescura de los datos y establecer umbrales adaptados al riesgo de cada activo. Pero rechazar una lectura anómala es una protección distinta de verificar que la garantía tenga suficiente liquidez para ser vendida. Pragma advierte asimismo de que varias etiquetas de fuentes no eliminan necesariamente el problema: distintos publicadores o agregadores pueden depender de los mismos mercados subyacentes.
El episodio deja a los protocolos una cuestión más amplia que la mera existencia de un feed: qué activos aceptar como garantía, qué exposición permitir y si la liquidez disponible soportaría una liquidación. La publicación de un precio, por sí sola, no resuelve ninguna de esas decisiones.
