Pragma назвала шесть ценовых фидов Starknet критически рискованными после эксплойта на $3,5 млн

В оценке от 18 сентября Pragma классифицировала BROTHER, DAI, DOG, EKUBO, LORDS и NSTR как несущие критический риск среди 22 рыночных и процентных фидов в основной сети. Ещё девять фидов получили оценку высокого риска. Оценка не устанавливает, что каждый из перечисленных фидов используется в качестве залога. Оценка последовала за эксплойтом с заимствованием 17 сентября в Nostra — кредитном протоколе на Starknet. Nostra сообщила, что манипулирование ценой оракула NSTR позволило одному аккаунту занять другие активы примерно на $3,5 млн под залог NSTR. Pragma предупредила, что доступная цена токена не подтверждает возможность продать залог для покрытия займа. Оракул предоставляет оценку стоимости, но для ликвидации необходимо продать залог, а рынок с низкой ликвидностью может не поглотить такую продажу по цене, близкой к котируемой. Для объёмов токенов, оценённых оракулом в $10 000, ухудшение котировки при продаже по сравнению с котировками для продаж на $10 составило около 15 % для NSTR, 17 % для EKUBO, 22 % для LORDS и 20 % для BROTHER. Pragma заявила, что вывод по DAI касался концентрации источников и тестирования маршрутов токенов Starknet. Компания сообщила, что у текущих и устаревших развёртываний были разные кривые выхода, поэтому критическую оценку нельзя трактовать как вывод о глобальной неликвидности DAI. Pragma также предупредила, что несколько обозначений издателей и агрегаторов могут не обеспечивать независимую защиту, поскольку у них могут быть общие базовые рыночные зависимости. В своём описании инцидента от 17 сентября Pragma сообщила, что затронутый ответ оракула имел два источника, способствовавших проблеме. Компания заявила, что обязательный минимум в три источника привёл бы к отклонению этого ответа, а её рекомендации по интеграции предусматривают проверки актуальности данных и пороговые значения, соответствующие риску актива. Pragma заявила, что отклонение этого ответа было бы отдельной мерой защиты, не заменяющей обеспечение достаточной ликвидности залога при продаже. Компания связала отклоняющийся ввод с манипулированием ончейн-пулом и заявила, что её реконструкция не выявила ошибки в количестве десятичных знаков или расчёте медианы. Nostra сообщила, что приостановила кредитование, заимствования, вывод средств и ликвидации, пока сверяла последствия и отслеживала средства. Компания заявила, что окончательные убытки и возможные возвраты средств всё ещё неизвестны. В объявлении от 17 сентября не подтверждался последующий статус выводов средств или возврата средств. Отдельно Pragma сообщила, что адрес атакующего был заморожен, а работа по возврату средств продолжалась. В отчёте говорится, что кредиторы должны учитывать, какие активы могут использоваться в качестве залога, какой объём риска допускать и может ли ликвидность выхода поддержать ликвидацию, поскольку публикация цены сама по себе не решает эти вопросы.