币圈界报道：

Starknet借贷市场突遭价格操控：巨额资金外流与系统冻结

2026年9月17日协调世界时13:28，以太坊扩容方案Starknet上的Nostra Finance协议报告一起严重安全事件。一名攻击者利用被人为抬高的NSTR代币余额作为抵押，成功借出包括ETH、STRK、USDC、USDT、WBTC和DAI在内的多资产组合，总金额达350万美元，而其实际抵押品市值仅为55万美元。

跨链资金转移与损失评估：多数资产已离场

安全机构PeckShield于次日00:41披露，约192万美元已被桥接至以太坊主网，具体包括234.57枚ETH与130万枚DAI。CertiK后续分析确认，约155万美元仍滞留于Starknet，其余接近193万美元完成跨链转移。该事件被SlowMist归类为典型预言机操纵，目前协议已全面暂停存款、借款、取款及清算功能，团队正进行池内余额核查，最终损失规模与追回可能性尚待明确。

核心漏洞溯源：价格数据失真如何触发系统性风险

预言机作为协议获取代币价值的关键接口，其作用远超代码逻辑本身。本次攻击并未破坏智能合约，而是通过篡改价格输入，使系统基于错误数据执行借贷决策。尽管官方未公布所用价格提供商，但研究推测，攻击者借助流动性极低的交易场所，将NSTR报价推升至0.0059美元，远高于正常水平（0.0055–0.0059美元区间）。

历史重演：同类缺陷曾致三倍估值虚高

Nostra此前在2025年3月24日即暴露出类似弱点——xSTRK与sSTRK的价格一度被虚报为真实价值的三倍，从0.1793美元飙升至0.5897美元。当时协议未配置备用价格源，导致系统无法识别异常，凸显单一数据源带来的致命隐患。

流动性薄弱才是操纵温床：小市值代币成高危目标

技术讨论常聚焦预言机，但真正可被利用的杠杆在于底层市场流动性。对于日交易量数亿美元的主流代币，人为抬价成本极高；而市值仅数十万美元的代币，只需少量资金即可实现价格剧烈波动。因此，当抵押代币规模远小于可借出额度时，整个资金池面临集体操纵风险，即使未参与借贷的存入者也难逃连带影响。

风险控制双防线：借款上限与隔离模式缺一不可

成熟协议通常采用两项核心机制防范此类风险：借款上限设定特定抵押品的总借款限额，隔离模式则将高风险资产置于独立池中，防止违约蔓延至主资金池。这两项参数均应在协议文档中清晰标注。若某代币无借款上限或上限超过其市值，即为显著风险信号，而非可忽略的技术细节。

评估借贷平台前必查四要素：从抵押品到价格来源

所有合规协议均会公开其风险参数。在Nostra中，相关数据可在docs.nostra.finance查阅。建议用户关注四个关键信息：第一，哪些代币被允许作为抵押品借出（非仅存入）；第二，每种代币的借款上限是否低于其市值；第三，是否启用隔离模式及其适用范围；第四，价格数据由哪家机构提供，是否存在多重验证机制。

双重验证机制缺失：为何缺乏备用预言机是致命短板

理想情况下，协议应依赖多个独立价格源，并设置异常跳涨熔断机制。当首个来源数据异常时，备用预言机应能介入并提出异议。然而，Nostra在2025年事件中正是因缺少这一设计而受创。若协议文档未说明价格来源与冗余机制，不应视为信任背书，而应主动向社区提问，沉默即为默认风险。

年度高频攻击趋势：32起价格操纵揭示系统性危机

根据KuCoin数据，2026年迄今已有32起独立的价格操纵攻击记录，创下历史新高。按此频率，约八分之一的加密黑客事件源于此类问题。其中最严重案例发生于Cronos链的Tectonic协议，在20分钟内价格暴涨百倍，导致约7500万美元贷款被释放。该数字虽来自市场参与者估算，但反映事件规模级差。

聚类现象明显：一周内六起借贷相关攻击集中爆发

对cryptoticker.io德语档案库的分析显示，在2026年7月1日至9月18日期间共追踪到21起事件，其中六起涉及借贷市场或其价格源。包括Ostium（7月）、Ajna、Tectonic、Moonwell及More Markets（8月底），以及9月初跨四条链的价格服务被入侵。值得注意的是，四起事件集中在8月底的一周内，表明攻击者存在周期性行为特征。

暂停机制背后的代价：你最需要钱时反而取不出

攻击后，协议不仅停止借贷，更冻结取款功能。此举出于防止“幸存者优先撤离”引发的不公平清零。但从用户角度看，这意味在急需资金时无法提取。建议存入前自问：若资金被长期锁定，能否承受？尤其对需缴税或支付账单者，此类工具并不适合。

利率陷阱：高收益背后隐藏的风险信号

高存款利率源于借款人愿意支付溢价。通常，这类需求来自两类人：一是利用杠杆构建更高回报头寸者，二是提供难以在其他平台借出的特殊抵押品者。后者正是本次事件的核心诱因。因此，高利率并非自动警示，但若搭配异质抵押代币，则需高度警惕。

去中心化与中心化风险的本质差异

去中心化协议的风险在于参数、价格源与代码逻辑，但透明度高且无需信任第三方。中心化服务商则承担交易对手风险——你无法查验其底层抵押品是否保值，但拥有可联系的服务方及部分监管保障。选择取决于你更倾向阅读条款还是理解代码。

自我托管：放弃利息以规避全部风险

将资产交由自己保管，虽失去利息收入，却彻底排除了借贷风险。这不是理想主义，而是清醒认知：每年百分之几的回报不足以覆盖潜在违约成本。近期接连事件证明，系统性风险已非偶然。

用户自查清单：借贷前必做的七项检查

存入前务必审查抵押品列表；核实可借出代币的借款上限是否超过其市值；确认是否启用隔离模式；了解价格来源与是否有备用机制。同时，评估自身是否真需利息——计算一年收益后，对比若资金被冻结数周的影响。如两者相近，自我托管反而是更优解。此外，持续记录存款与取款时间点，以备税务申报或损失抵扣之需。若已受影响，请勿轻信非官方恢复承诺，谨防冒名账户窃取钱包权限。