$3.5 million versus $550,000 in collateral: How to check the tokens accepted in the DeFi Lending Mar

9月17日Starknet事件回顾：以55万美元市值的抵押品借出350万美元

Nostra Finance在以太坊扩容解决方案Starknet上运营一个资金市场。这是一个允许用户存入代币，其他用户则提供抵押品进行借贷的协议。该协议于2026年9月17日协调世界时13:28通过其官方渠道报告了这起事件。一名攻击者账户将虚高的NSTR余额当作抵押品，随后借出了一篮子流动性更强的资产：在第一版中包括Ether、STRK、USDC、USDT、WBTC和DAI。

安全公司PeckShield于协调世界时9月18日00:41报道，约192万美元已被转移至以太坊主网，具体为234.57枚Ether和130万枚DAI。CertiK在两小时后得出了类似的拆分结果：最初约有155万美元仍留在Starknet上，而约193万美元被桥接出去。分析公司SlowMist将该事件归类为预言机操纵。目前，Nostra已暂停存款、借款、取款和清算功能，团队正在核对池余额。最终损失规模以及可追回的比例仍有待确定。

预言机操纵解析：价格数据源如何成为攻击面

预言机是协议获取代币当前价值的接口。没有这些信息，借贷市场无法运作：它必须知道抵押品覆盖了多少价值，以及在什么情况下头寸需要被清算。预言机操纵是一种攻击，破坏的不是协议的程序代码，而是代码所采信的价格数据。

This distinction is critical because it explains why security audits of code have limited role in such incidents. The protocol calculation logic is correct-it just calculates based on the wrong number. The official statement has not disclosed which price provider NSTR uses. Security researchers speculate that attackers took advantage of extremely illiquid trading venues to push reported prices into a range well above normal trading levels. At the time, NSTR was trading between $0.0055 and $0.0059.

Nostra has had such weaknesses before. On March 24, 2025, price data for xSTRK and sSTRK showed three times the actual value;xSTRK soared from $0.1793 to $0.5897. For these assets, no second independent price provider was set up as a backup plan.

Why illiquidity of collateralized tokens is the real risk

Technical discussions usually revolve around the oracle, but the leverage effect actually stems from another place. Prices can only be manipulated when the market liquidity behind it is weak enough. For tokens with daily transactions of hundreds of millions of dollars, the cost of artificially doubling the price is often higher than the gain from the attack. For tokens with a market value of only hundreds of thousands of dollars, only a moderate amount of chips is enough to drive the price.

This leads to a rule that can be applied without technical tools: the smaller the size of the collateral token relative to the amount that can be lent, the greater the risk of manipulation by others in the same pool. This includes you, even if you only deposit funds and never borrow-because ultimately the payouts come from the shared pool balance.

借款上限与隔离模式

优秀的协议通过两种工具限制此类风险。借款上限（Borrow Cap）规定了针对特定抵押品的总借款额度。隔离模式（Isolation Mode）将高风险代币锁定在单独的池中，使其违约不会波及大型资金池。这两项参数均在文档中注明，是你存入资金前可查看的数字。如果完全缺失上限，或上限高于抵押代币的市值，这是一个值得关注的发现，而非细节。

任何寻求加密余额利息的人都会在不同的中心化服务商中发现不同的风险，但面临相似的问题——背后有哪些抵押品，谁承担责任。查看我们的借贷服务商比较，可以了解首先存在哪些模型，以便你在决定选择去中心化还是中心化之前做出明智判断。<>

这次攻击并没有破坏代码，而是破坏了代码计算所使用的数字。

检查你的借贷市场抵押品列表：文档中的四个关键数字

每个严肃的协议都会发布其参数。在Nostra，你可以在docs.nostra.finance找到它们；在其他协议中，该部分通常称为“市场”、“风险参数”或“资产列表”。四个数字足以进行初步评估。

第一：哪些代币被批准为抵押品？

Not a token you can deposit, but a token you can lend out as collateral. These are two different lists, the second list is more dangerous. Look for the token for the agreement itself-if it appears on the collateral list, review it carefully.

Second: What is the borrowing limit for each collateral?

Compare this to the market value of the token. In Nostra's case, the amount available to lend against NSTR exceeded the market value of its entire circulating supply.

Third: Is isolation mode applicable?

If yes, which tokens apply to? Is your balance in a shared pool or an isolated pool?

Fourth: Who provides the price?

See more below.

Price sources and alternate prophets: How to determine whether an agreement seeks a "second opinion"

Documentation usually states which price provider to use. More noteworthy than the provider name is the answer to the following two questions: Does the agreement obtain prices from multiple independent sources, or does it rely entirely on a single source? Is there a reasonable limit to freezing a position if the price jumps several times within a few minutes?

备用预言机是当第一个提供商提供不可信数值时介入或提出异议的第二个价格来源。这正是Nostra在2025年3月25日受影响的资产中所缺乏的。如果你在文档中找不到相关说明，这并不是绿灯信号，而是一个可以向团队在公共频道提出的开放性问题。不回答的协议已经给出了答案。

我们曾在早期事件中提出过相同的问题。在8月底Base链上的Moonwell漏洞事件中，被操纵价格的是协议自身代币MAMO。这种模式在过去几个月里以不同的名字反复出现。

一年内32次价格操纵：数据与统计显示的趋势

Nostra事件并非孤立案例，而是系列事件中的最新一起。根据交易所KuCoin在9月初 circulated 的数据，去中心化借贷协议在2026年迄今已记录了32起单独的价格操纵攻击——按此计数，创下了该领域的记录。因此，今年大约八分之一的加密黑客攻击可追溯至此种形式的攻击。单笔最大损失发生在Cronos链上的Tectonic，在约20分钟内价格飙升百倍后，借出了约7500万美元。该数字来自市场参与者而非独立审计师；它展示了一个数量级，而非官方统计数据。

为了了解这一情况在我们的报道中如何体现，我们统计了cryptoticker.io的德语档案库。方法：在2026年9月18日查询编辑数据库，查找自2026年7月1日以来所有地址中包含“exploit”或“hack”术语的德语文章，随后对手动审核的结果进行人工复核。结果：在十一周内记录了21起事件。其中六起影响了借贷市场或其价格来源——7月的Ostium，8月底的Ajna、Tectonic、Moonwell和More Markets，以及9月初跨四条链的价格服务被入侵。本分析由cryptoticker.io于2026年9月18日自行完成。

我们无法用此衡量的是总事件数量。我们的统计仅涵盖我们自己报道的内容，且标题中不包含这两个搜索词的文章会漏网。这个数字作为趋势指示是有用的，而非损害资产负债表。尽管如此，聚类现象依然引人注目：六起借贷市场案例中有四起集中在8月底的一周内。

当市场暂停时：为何在你最需要提现时却无法取出资金

许多人低估的部分发生在攻击之后。Nostra不仅停止了借款，还停止了取款。从协议的角度来看，这是正确的，否则最快移动的用户会清空剩余资金，导致损失分配不均。对你而言这意味着：在你最急需取出资金的那一刻，大门关闭了。

由此引出一个令人不适但有用的练习。在存入资金前问自己，如果这笔金额被无限期冻结，你能忍受多久。不是问你是否能承受损失——那是显而易见的问题——而是问你是否会在未来几周内不需要这笔钱。任何人将资金用于缴税或支付即将到来的账单，都不适合放入资金市场。

你还可以检查谁有权触发此类暂停。在大多数协议中，这一权利掌握在一小圈密钥持有者手中，有时带有时间锁机制，需要一定的等待时间。这两者在文档的“治理”或“管理员密钥”部分均有注明。<>

当资金市场暂停时，禁令同样适用于存款人，即使那些从未借款的人。

看似诱人的收益率：如何解读回报与抵押品风险

资金市场中高额存款利率的产生是因为有人愿意支付该利率。谁会为贷款支付双位数的利率？通常，是那些利用借入资金建立预期回报更高的头寸的人——或者是那些提供了在其他地方无法借出的抵押品的人。第二种情况正是导致Nostra损失的原因。

这并不意味着高利率自动构成警告信号。它意味着利率告诉你应该在哪里寻找线索。如果列表中有一个引人注目的高利率旁边伴随着一个异质的抵押代币，你就找到了解释。如果列表中只有Ether和成熟的稳定币，那么利率可能是需求的体现，而非风险的反映。

中心化与去中心化：各自承担的风险

这种比较并非非黑即白，任何将其简化为清晰界限的人都在过度简化。在使用去中心化资金市场时，你承担参数、价格 feed 和程序代码的风险。你可以查阅所有这些内容，只要协议的密钥管理得当，没有人能随意提取你的余额。

在使用中心化服务商时，你承担的是交易对手风险：服务商会将你的余额再次贷出，而你通常无法检查底层抵押品是否保值。作为交换，你有一个可联系的合同伙伴，且在拥有欧洲授权的服务商处，还有一个监管机构。哪种形式适合你，取决于你更愿意阅读参数还是合同条款。

自我托管如何改变这一切

第三条路线是不进行借贷。任何将资产保留在自己托管状态的人都放弃了利息，从而排除了这两种风险。这不是一种浪漫主义立场，而是一种清醒的认识：每年百分之几的回报并不值得承担所有的违约风险，近几周的事件表明，违约并非例外。

检查DeFi借贷市场：要点总结

存入前查看抵押品列表。

查明哪些代币可作为抵押品借出，每种代币的借款上限是多少，以及是否超过该代币的市值。如果你想知道预先哪些提供商符合条件以及计息模型有何不同，我们的质押和收益平台概览有助于缩小候选名单。

澄清你是否真的需要这些利息。

计算一年收益在你的金额上带来多少，并将其与市场暂停数周的情况进行对比。如果两者相差不大，自我托管是更简单的答案；合适的设备类型见我们的硬件钱包比较。

随时记录存款和取款。

如果协议进入清算阶段，你日后需要时间和金额的记录——无论是为了报税还是可能的损失抵扣。投资组合跟踪器可以帮你处理这些事务；你可以在加密货币税务软件和组合追踪器栏目中找到精选列表。

此外，如果你已经受到影响：在回应承诺快速恢复资金的报价前，等待团队的官方结算。每次重大事件后，都会出现伪装成恢复服务的账户，实际上是为了获取钱包访问权限。Nostra清算的细节已在安全报告的编年史中汇总。

（截至2026年9月18日。本文不构成投资建议。价格和费用结构会发生变化；购买前请与提供商核实条款。）