Nostra mette in pausa il money market dopo un exploit dell’oracle su Starknet
L’app di lending su Starknet ha sospeso lending e withdrawals mentre il team analizza il danno per singolo asset. All’inizio di questo mese anche Vesu è stato colpito da un incidente legato a un oracle.
In breve
- Nostra ha messo in pausa il suo money market dopo un exploit dell’oracle su Starknet, in cui un account ha potuto prendere in prestito circa $3,5 milioni con collateral NSTR.
- Lending, borrowing, withdrawals e liquidations sono temporaneamente disattivati mentre il team analizza il danno per asset; il recupero dei fondi è ancora incerto.
- Il total value locked è sceso da circa $4 milioni a circa $710.632, e Nostra ha anche avvertito della presenza di finti influencer e phishing.
Il protocollo di lending su Starknet Nostra ha messo in pausa il suo money market giovedì dopo che un price oracle manipolato ha permesso a un account di prendere in prestito circa $3,5 milioni (€3 milioni) contro collateral NSTR. Lending, borrowing, withdrawals e liquidations non sono al momento disponibili mentre il team ricostruisce il danno per singolo asset. Se e quanto si potrà recuperare, non è ancora chiaro.
Cosa è andato storto
Secondo i dati disponibili, l’account ha usato NSTR come garanzia e contro di essa ha prelevato Ethereum, Starknet, USDC, USDT, Wrapped Bitcoin e DAIv1 dal protocollo. Il bottino era quindi circa sei volte superiore al valore di mercato del token usato come collateral. La società di sicurezza PeckShield ha poi segnalato che l’account ha bridgiato $1,92 milioni (€1,7 milioni) verso Ethereum, tra cui 234,57 ETH e 1,3 milioni di DAI.
L’impatto sul protocollo è stato subito visibile nei numeri. Il total value locked è sceso da circa $4 milioni (€3,5 milioni) il 16 settembre a circa $710.632 (€619.000) al momento della scrittura. Nostra ha detto che sta ancora cercando di capire l’impatto per asset e sta tracciando i fondi.
Altri problemi su Starknet questo mese
Nostra non è l’unico protocollo su Starknet colpito questo mese. All’inizio di settembre, un prezzo errato nella catena di pubblicazione di Pragma ha causato liquidazioni su Vesu, un’altra app di lending su Starknet. L’incidente ha mostrato quanto possano essere vulnerabili i protocolli quando si affidano molto a un’unica fonte di prezzo esterna.
L’attacco a Nostra però è diverso. Nel caso di Pragma si trattava di un errore di pubblicazione, mentre qui c’è stata una manipolazione intenzionale del prezzo di un collateral. Per gli utenti su Starknet, questo sottolinea che non solo i bug del codice, ma anche i price feed e gli oracle restano un rischio importante nella DeFi. Anche i precedenti exploit degli oracle nei protocolli di lending mostrano quanto in fretta un feed di prezzo sbagliato possa trasformarsi in prestiti troppo grandi e perdite dirette.
Settembre resta costoso per il crypto
Il tempismo si inserisce in una serie più ampia di incidenti nel mercato crypto. Prima del caso Nostra, DefiLlama aveva già registrato oltre $326 milioni di perdite crypto a settembre, soprattutto per il maxi incidente da $320 milioni (€279 milioni) legato a Liquid Network. Nostra ha aggiunto un’altra perdita più piccola, ma comunque pesante.
Il team ha anche avvertito gli utenti della presenza di finti influencer e ha detto che non invia mai messaggi diretti né chiede di collegare un wallet durante il lavoro di recupero. Per gli investitori crypto italiani ed europei questo è rilevante, perché i periodi di recupero dopo un hack vengono spesso usati per ulteriore phishing e tentativi di truffa.
