Nostra Finance: استنزاف 3.5 مليون دولار بفعل تلاعب أسعار الأوراكل

مقدمة تحليلية

في 17 سبتمبر 2026، أوقفت سوق الإقراض Nostra Finance على شبكة Starknet جميع عمليات الإيداع والاقتراض والسحب والتصفية بعد أن اقترض حساب واحد ما يقارب 3.5 مليون دولار أمريكي بضمان توكن NSTR. صنفت تقارير الأمن من GoPlus Security و PeckShield و CertiK و SlowMist هذا الحادث كتلاعب بسعر الأوراكل، وليس اختراقاً لعقد أساسي أو سكاً غير مصرح به. هذا التمييز هو جوهر الواقعة. لم يتطلب الأمر من Nostra شحن دالة `borrow` معيبة؛ فالسوق المالي عمل كما هو مصمم له: قراءة السعر، وتحديد الضمان، وإصدار الأصول السائلة.

كان عمل المهاجم هو جعل ذلك السعر غير صحيح. وفقاً لإعادة بناء GoPlus Security، قفز سعر الأوراكل لتوكن NSTR من حوالي 0.006 دولار إلى 49.5 دولار، أي ما يقارب 8,000 ضعف في دقائق. لاحظت BeInCrypto لاحقاً أن القيمة السوقية لتوكن NSTR كانت حوالي 546,751 دولاراً فقط، مما يعني أن سلة القروض كانت نحو ستة أضعاف إجمالي القيمة السوقية للتوكن الضامن. هذا ليس "خطأ في العقد الذكي" بالمعنى المعتاد لتقارير التدقيق، بل هو فشل في سلطة التسعير.

التحليل التقني

كانت الأوقات والتفاصيل التي قدمتها GoPlus Security كاملة بشكل غير معتاد. كانت محفظة الاقتراض قد تفاعلت مع عقود NSTR في مارس وأغسطس 2026، لتراكم مخزوناً رخيصاً قبل فترة طويلة من الارتفاع المفاجئ. أما نافذة الهجوم الحي في 17 سبتمبر، فكانت كالتالي:

• 05:23 بالتوقيت العالمي الموحد — أنشأ المهاجم مجمع NSTR/SolvBTC زائفاً بسيولة من جانب واحد تبلغ حوالي 1.5 SolvBTC فقط.
• 05:27–05:47 — جرت صفقات غسل عبر هذا المجمع؛ وسحبت السيولة من نطاق صناعة السوق.
• 05:47–05:48 — أدت عمليات المبادلة المتكررة عبر المجمع ذي السيولة الضئيلة إلى طباعة سعر NSTR قرب 49.5 دولار.
• 05:48–05:50 — استخدم توكن NSTR المتضخم كضمان. اقترض الحساب ETH و STRK و USDC و USDT و WBTC و DAI.
• 05:51–07:08 — تم تفريغ العائدات عبر منصات AVNU و Ekubo و JediSwap. وغادر حوالي 2.2 مليون STRK شبكة Starknet عبر جسر NEAR Intents.

أفادت PeckShield لاحقاً أن حوالي 1.92 مليون دولار قد جرى جسرها بالفعل إلى Ethereum، بما في ذلك 234.57 ETH و 1.3 مليون DAI. وصفت GoPlus أيضاً دفتراً مقسماً: محفظة تجميع واحدة على Ethereum بحوالي 1.9 مليون دولار، مع حوالي 1.5 مليون دولار لا تزال في حساب الاقتراض وقت الإبلاغ. كان رد Nostra هو الخيار الأشد المتاح: أصبحت السوق المالية غير متصلة بالإنترنت بالكامل. أظهرت بيانات DefiLlama، التي استشهدت بها BeInCrypto، انهيار القيمة الإجمالية المقفلة (TVL) من حوالي 4 ملايين دولار في 16 سبتمبر إلى حوالي 710,000 دولار.

تكمن المشكلة الحقيقية في اختيار المجمعات وليس في الحسابات؛ حيث قام المهاجم باختراق منطق اختيار المجمعات الخاص بـ GeckoTerminal، مما جعل مجمع NSTR/SolvBTC الزائف، الذي لا يملك عمقاً حقيقياً تقريباً، يصبح مصدر السعر المرجعي. بمجرد أن أشار المجمع إلى المجمع المخادع، أكملت عمليات التداول الوهمية المهمة. كان هذا يعادل مشكلة في سلسلة التوريد، حيث يتم التعامل مع سعر لوحة القيادة كأنه متوسط مرجح للوقت على السلسلة (TWAP) موثوق به.

لماذا توكنات البروتوكولات سامة للضمانات

هذا النمط ليس فريداً لشبكة Starknet؛ ففي أواخر أغسطس، تعرض Moonwell على Base لهجوم بعد التلاعب بسعر التوكن الخاص به. توكنات البروتوكولات تعد ضمانات جذابة لفرق النمو لأنها تعزز الفائدة للتوكن الأصلي، وتزيد من القيمة الإجمالية المقفلة الظاهرية (TVL)، وتجعل الحوكمة تبدو "منتجة". لكنها تمثل ضمانات خطيرة للآخرين لأن العرض المتداول صغير، وغالباً ما يكون المجمع الأعمق هو زوج المشروع نفسه، ويمكن لصناع السوق سحب سيولتهم في معاملة واحدة، وسعر التوكن غالباً ما يكون مجرد أداة عرض على لوحة القيادة بدلاً من أوراكل صالح للتصفية. القاعدة المستنبطة هي: إذا كانت القيمة السوقية للتوكن أصغر من الأصول التي يمكن اقتراضها مقابلها، فإن التوكن ليس ضماناً؛ بل هو خيار شراء على مجمع الإقراض.

إن القيمة السوقية لـ NSTR البالغة حوالي 547 ألف دولار مقابل قرض بقيمة 3.5 مليون دولار هي أوضح مثال حديث على هذه القاعدة. لم يكن المهاجم بحاجة إلى التغلب على أسواق ETH أو USDC، بل فقط على رواية سعر NSTR.

السياق وتأثير السوق

إن النوافذ الزمنية الطويلة للتحضير للهجوم هي الجزء الأقل مناقشة في إعادة بناء GoPlus. تفاعل حساب الاقتراض مع NSTR قبل أشهر من تنفيذ الهجوم. هذا ليس عملاً إجرامياً سينمائياً، بل هو ممارسة تشغيلية طبيعية لمهاجم صبور: تجميع التوكن الرخيص دون تحريك دفتر الأسعار الفوري، والانتظار حتى لا يزال سوق الإقراض يعامل هذا التوكن كضمان، ثم قضاء بضع دقائق في إنشاء مجمع مرجعي زائف. بالنسبة للمراقبة على السلسلة، هذه إشارة أفضل من انتظار الاندفاع في الاقتراض عند الساعة 05:48.

بحلول الوقت الذي يتم فيه إطلاق ستة قروض في دقيقتين، يكون الضرر قد وصل بالفعل إلى mempool أو المُسلسل (sequencer). تشمل الإشارات العملية قبل الحادث ما يلي: مجمع جديد تكون سيولته المعروضة من جانب واحد، وتغيير مفاجئ في التصنيف على مجمع أسعار عام، ومحفظة قامت بتجميع التوكن الضامن لشهور ولم تتصرف كصانع سوق أو مقترض عادي، وأصل ضمان يتجاوز حد الاقتراض، إن وجد، قيمته السوقية المتداولة. لا تتطلب أي من هذه الإشارات ثغرة صفرية؛ بل تتطلب مراقبين مستمرين لسياسات الإدراج وبيانات المجمع الوصفية ورسوم بيانية للمقترضين. ينتمي هذا الحادث إلى جانب حدث Pragma / Vesu في 4 سبتمبر على نفس السلسلة.

لاحظت BeInCrypto أن فشل Pragma السابق كان خطأً في النشر أدى إلى 47 عملية تصفية، مع إبلاغ Pragma لاحقاً عن استرداد حوالي 95%. كانت Nostra مختلفة: السعر لم يكن خاطئاً عن طريق الخطأ؛ بل تم بناؤه عمداً. نفس السلسلة، نفس الأسبوع، نمطان مختلفان لفشل الأوراكل. يجب أن يقلق هذا أي فريق يعتبر "نحن نستخدم أوراكل" كتحكم أمني مكتمل.

كانت الأيام السابقة لحدث Nostra مكلفة بالفعل؛ ففي سبتمبر، تجاوزت خسائر العملات المشفرة 326 مليون دولار قبل هذا الحدث، سيطر عليها حادث Liquid Network. أحصت PeckShield 50 اختراقاً في أغسطس، وهو أعلى رقم شهري لعام 2026، حتى مع انخفاض إجمالي الخسائر. الصناعة لا تشهد هجمات أقل، بل هجمات أصغر وأسرع وأكثر تركيبية.