350 万美元与 55 万美元的抵押品：如何检查您的 DeFi 借贷市场接受哪些代币
核心要点
- 如果您的资金存放在去中心化借贷市场中，那么您的风险不是由利率决定的，而是由协议接受作为抵押品的代币列表决定的。
- 在该协议中，用户存入代币，其他用户则根据发布的抵押品提取贷款。
- 寻找协议自己的代币——如果它显示为抵押品，请仔细观察。
如果您的资金存放在去中心化借贷市场中，那么您的风险不是由利率决定的，而是由协议接受作为抵押品的代币列表决定的。 2026 年 9 月 17 日，Starknet 上的攻击者正是利用了该列表，从 Nostra Finance 货币市场借入了约 350 万美元。抵押品是该协议自己的代币 NSTR，当时其整个流通市值在 55 万至 59 万美元之间。借款金额超过抵押品市场价值五倍以上。
本文解释了该事件在技术上的新内容和非新内容，最重要的是，在您下次向贷款市场投入资金之前，您可以在自己的贷款市场的文档中查找哪四个数字。检查大约需要十分钟，并且不需要区块链编程方面的专业知识。
9 月 17 日 Starknet 上发生的事情：市值 55 万美元，市值 350 万美元
Nostra Finance 在以太坊扩展解决方案 Starknet 上运行货币市场。在该协议中，用户存入代币，其他用户则根据发布的抵押品提取贷款。该协议于世界标准时间 2026 年 9 月 17 日 13:28 通过其官方渠道报告了该事件。单个账户将膨胀的 NSTR 余额作为抵押品，然后借入了一篮子流动性更高的资产：第一个版本中的 Ether、STRK、USDC、USDT、WBTC 和 DAI。
安全公司 PeckShield 于 9 月 18 日 00:41 UTC 报告称，约 192 万美元已转移至以太坊主网，具体为 234.57 以太币和 130 万美元 DAI。不到两小时后，CertiK 也进行了类似的拆分：Starknet 上最初保留了约 155 万美元，约 193 万美元被桥接。分析公司慢雾将该事件归类为预言机操纵。 Nostra 本身已经关闭了存款、借款、提款和清算，而团队则对资金池余额进行核对。最终损失有多大，能挽回多少，仍然是未知数。
预言机操纵解释：价格反馈如何成为攻击面
预言机是协议了解代币当前价值的接口。如果没有这些信息，借贷市场就无法运作：它必须知道发布的抵押品涵盖了多少以及必须在什么时候清算头寸。预言机操纵是一种攻击，其中破坏的不是协议的程序代码，而是该代码按面值计算的价格。
这种区别很重要，因为它解释了为什么代码的安全审计在这里没有什么帮助。该协议计算正确——它只是使用错误的数字进行计算。迄今为止，官方声明中尚未透露 NSTR 案件中使用的是哪个价格提供商。安全研究人员认为，流动性非常稀薄的交易场所被用来将报告的价格推高至远远高于通常的交易水平。截至本报告发布时，NSTR 的交易价格为 0.0055 至 0.0059 美元。
诺斯特拉以前也有过这个弱点。 2025 年 3 月 24 日，xSTRK 和 sSTRK 的喂价显示为实际值的三倍； xSTRK从0.1793美元跃升至0.5897美元。这些资产不存在第二个独立的价格提供者作为后备。
为什么抵押代币的流动性稀薄才是真正的风险
技术争论通常围绕着预言机展开。然而，杠杆却在别处。只有当价格背后的市场足够薄弱时，价格才能发生变化。由于代币每天的交易量达到数亿，人为加倍的成本比攻击带来的成本还要高。对于市值达 50 万美元的代币，少量的股份就足够了。
由此得出的规则是，您可以在没有技术工具的情况下应用：抵押代币相对于可以借用的代币越小，同一池中其他人的操纵风险就越大。这包括你，即使你只存了钱，从未提取过贷款——因为最终的支出来自共享余额。
借用上限和隔离模式
好的协议可以通过两种工具来限制这种风险。借款上限规定了针对特定抵押品总共可以借入的金额。隔离模式将有风险的代币锁定在一个单独的池中，这样默认的代币就不会溢出到大池中。两者都在文档中说明，并且都是您在存款之前可以查看的数字。如果上限完全缺失，或者高于抵押代币的市值，那么这只是一个发现，而不是一个细节。
任何寻求加密货币余额利息的人都会在中心化提供商那里发现不同的风险，但也会遇到类似的问题——背后有什么抵押品，以及谁负责。在您决定去中心化还是中心化之前，我们对贷款提供商的比较显示了首先存在哪些模式。
攻击不会破坏代码，而是破坏代码计算的数字。
检查您的贷款市场的抵押品列表：每个文档中都有这四个数字
每个严肃的协议都会发布其参数。在 Nostra，您可以在 docs.nostra.finance 找到它们；在其他协议中，该部分通常称为市场、风险参数或资产列表。四位数足以进行第一次评估。
第一：哪些代币被批准作为抵押品？不是你可以存入哪些资金，而是可以借用哪些资金。这是两个不同的列表，第二个是危险的列表。寻找协议自己的代币——如果它显示为抵押品，请仔细观察。
第二：每种抵押品的借款上限有多高？根据该代币的市值设置它。在 Nostra，可以用 NSTR 借入的资金比整个流通供应的价值还要多。
第三：是否适用隔离模式？如果是，是什么代币？您的余额是在共享池中还是在独立池中？
第四：价格由谁提供？稍后会详细介绍。
价格来源和后备预言机：如何判断协议是否寻求第二意见
该文档通常会说明使用哪个价格提供者。比名字更不有趣的是两个问题的答案。该协议是否从多个独立来源获取价格，还是一切都取决于一个？如果价格在几分钟内上涨几倍，是否存在冻结仓位的合理限制？
后备预言机是第二个价格来源，当第一个预言机提供令人难以置信的值时，它会介入或反对。这正是 Nostra 在 2025 年 3 月受影响资产所缺乏的。如果您在文档中找不到对此的声明，则这不是一个明确的问题，而是一个开放的问题，您可以在公共渠道中向团队提出。不回答的协议已经回答了你。
我们在之前的事件中也曾问过同样的问题。在 8 月底 Base 上的 Moonwell 漏洞中，被操纵价格的是协议自己的代币 MAMO。这种模式在更名的情况下已经重复了几个月。