NSTR-Orakelmanipulation bei Nostra Finance

Am 17. September 2026 wurde Nostra Finance, ein Kreditprotokoll auf Starknet, um rund 3,5 Millionen US-Dollar erleichtert, nachdem ein Angreifer den Preis des protokolleigenen NSTR-Tokens manipuliert hatte, um weit mehr zu leihen, als die Sicherheit tatsächlich wert war.

Was geschah

NSTR wurde auf Nostras Geldmarkt als Kreditsicherheit akzeptiert, doch sein Referenzpreis hing von externen Preis-Aggregatoren ab, die dünne Liquidität verzerren konnte. Der Angreifer legte einen gefälschten NSTR/SolvBTC-Liquiditätspool mit nur etwa 1,5 SolvBTC einseitiger Liquidität an und führte dann rund zwanzig Minuten Wash-Trades durch diesen flachen Pool. Die Manipulation trieb den notierten NSTR-Preis von etwa 0,006 auf 49,5 US-Dollar — ein Sprung von rund 8.000x. Sobald die Aggregatoren den manipulierten Pool als Referenz wählten, hinterlegte der Angreifer die nun maßlos überbewerteten NSTR als Sicherheit und lieh sich dagegen, wodurch echte Vermögenswerte aus dem Protokoll abflossen. PeckShield verfolgte rund 1,92 Millionen US-Dollar der Erlöse — etwa 234,57 ETH und 1,3 Millionen DAI —, die zu Ethereum gebrückt wurden, während die restlichen rund 1,55 Millionen US-Dollar auf Starknet verblieben. Zum Vergleich: Die gesamte Marktkapitalisierung von NSTR lag unter 600.000 US-Dollar, was zeigt, wie wenig echte Liquidität die Sicherheit deckte.

Konsequenzen

Nostra pausierte Einlage, Kreditaufnahme, Abhebung und Liquidation im betroffenen Markt, sobald die Manipulation erkannt wurde, und begrenzte so weiteren Schaden während der Untersuchung. Die geliehenen Mittel wurden nicht zurückerlangt, und eine Identität des Angreifers wurde nicht bestätigt. Das Team verwies auf den illiquiden, selbst gelisteten Governance-Token, der als Sicherheit akzeptiert wurde, und dessen Abhängigkeit von einem verzerrbaren externen Preis-Feed als Kernursache.

Warum es wichtig ist

Nostra ist ein Musterbeispiel für einen Orakelmanipulationsangriff auf einen Kreditmarkt: ein illiquider Token, ein manipulierbarer Preis-Feed und eine Kreditmacht, die den realen Wert überstieg — dasselbe Rezept, das hinter Mango Markets und Moola Market steckte. Es verlängert zudem Starknets wachsende Vorfallsliste neben zkLend und mySwap — eine Erinnerung daran, dass neuere Ausführungsschichten die ältesten DeFi-Designfehler erben. Die Lehre wiederholt sich im gesamten Katalog: Ein Governance- oder Reward-Token sollte niemals über einen Pool bepreist werden, den ein Angreifer nach Belieben aufbauen und per Wash-Trading manipulieren kann.