Manipulation d'oracle du jeton NSTR sur Nostra Finance

Le 17 septembre 2026, Nostra Finance, un protocole de prêt sur Starknet, a été exploité pour environ 3,5 millions de dollars après qu'un attaquant a manipulé le prix de son jeton natif NSTR afin d'emprunter bien plus que ne valait réellement la garantie.

Ce qui s'est passé

NSTR était accepté comme garantie de prêt sur le marché monétaire de Nostra, mais son prix de référence dépendait d'agrégateurs de prix externes qu'une faible liquidité pouvait fausser. L'attaquant a créé un faux pool de liquidité NSTR/SolvBTC doté d'à peine 1,5 SolvBTC de liquidité unilatérale, puis a mené environ vingt minutes de wash trading à travers ce pool peu profond. La manipulation a porté le prix coté de NSTR d'environ 0,006 à 49,5 dollars — un bond d'environ 8 000x. Une fois que les agrégateurs eurent retenu le pool manipulé comme référence, l'attaquant a déposé les NSTR désormais démesurément surévalués en garantie et a emprunté contre eux, drainant des actifs réels du protocole. PeckShield a suivi environ 1,92 million de dollars des produits — quelque 234,57 ETH et 1,3 million de DAI — transférés par pont vers Ethereum, tandis que les quelque 1,55 million de dollars restants sont demeurés sur Starknet. À titre de comparaison, la capitalisation boursière totale de NSTR était inférieure à 600 000 dollars, illustrant le peu de liquidité réelle qui adossait la garantie.

Conséquences

Nostra a suspendu le dépôt, l'emprunt, le retrait et la liquidation sur le marché concerné dès la détection de la manipulation, limitant les dégâts pendant son enquête. Les fonds empruntés n'ont pas été récupérés et aucune identité de l'attaquant n'a été confirmée. L'équipe a pointé comme défaillance centrale le jeton de gouvernance illiquide et auto-listé accepté en garantie et sa dépendance à un flux de prix externe manipulable.

Pourquoi c'est important

Nostra est un cas d'école de manipulation d'oracle contre un marché de prêt : un jeton illiquide, un flux de prix manipulable et une capacité d'emprunt dépassant la valeur réelle — la même recette que celle de Mango Markets et Moola Market. Il allonge aussi la liste croissante des incidents de Starknet aux côtés de zkLend et mySwap, rappelant que les couches d'exécution récentes héritent des plus anciennes erreurs de conception de la DeFi. La leçon se répète dans tout le catalogue : un jeton de gouvernance ou de récompense ne devrait jamais être valorisé par un pool qu'un attaquant peut créer et manipuler par wash trading à volonté.