Nostra Finance在以太坊扩容解决方案Starknet上运营一个资金市场。这是一个允许用户存入代币，其他用户则提供抵押品进行借贷的协议。该协议于2026年9月17日协调世界时13:28通过其官方渠道报告了这起事件。一名攻击者账户将虚高的NSTR余额当作抵押品，随后借出了一篮子流动性更强的资产：在第一版中包括Ether、STRK、USDC、USDT、WBTC和DAI。
安全公司PeckShield于协调世界时9月18日00:41报道，约192万美元已被转移至以太坊主网，具体为234.57枚Ether和130万枚DAI。CertiK在两小时后得出了类似的拆分结果：最初约有155万美元仍留在Starknet上，而约193万美元被桥接出去。分析公司SlowMist将该事件归类为预言机操纵。目前，Nostra已暂停存款、借款、取款和清算功能，团队正在核对池余额。最终损失规模以及可追回的比例仍有待确定。
预言机是协议获取代币当前价值的接口。没有这些信息，借贷市场无法运作：它必须知道抵押品覆盖了多少价值，以及在什么情况下头寸需要被清算。预言机操纵是一种攻击，破坏的不是协议的程序代码，而是代码所采信的价格数据。
这一区别至关重要，因为它解释了为何对代码的安全审计在此类事件中作用有限。协议计算逻辑是正确的——只是它基于错误的数字进行了计算。关于NSTR使用的是哪家价格提供商，官方声明至今未予披露。安全研究人员推测，攻击者利用了流动性极薄的交易场所，将报告价格推高至远高于正常交易水平的范围。当时NSTR的交易价格在0.0055至0.0059美元之间。
Nostra此前曾有过此类弱点。2025年3月24日，xSTRK和sSTRK的价格数据显示为实际价值的三倍；xSTRK从0.1793美元飙升至0.5897美元。对于这些资产，当时并未设置第二个独立的价格提供商作为后备方案。
技术讨论通常围绕预言机展开，但杠杆效应实则源于另一处。只有当背后的市场流动性足够薄弱时，价格才可能被操纵。对于每日交易量达数亿美元的代币，人为使价格翻倍的成本往往高于攻击所得。而对于市值仅数十万美元的代币，只需适度的筹码便足以推动价格。
由此得出一个无需技术工具即可应用的规则：抵押代币相对于可借出金额的规模越小，同一池中其他人的操纵风险就越大。这包括你本人，即使你只存入了资金从未借款——因为最终 payouts 来自共享的资金池余额。
优秀的协议通过两种工具限制此类风险。借款上限（Borrow Cap）规定了针对特定抵押品的总借款额度。隔离模式（Isolation Mode）将高风险代币锁定在单独的池中，使其违约不会波及大型资金池。这两项参数均在文档中注明，是你存入资金前可查看的数字。如果完全缺失上限，或上限高于抵押代币的市值，这是一个值得关注的发现，而非细节。
任何寻求加密余额利息的人都会在不同的中心化服务商中发现不同的风险，但面临相似的问题——背后有哪些抵押品，谁承担责任。查看我们的借贷服务商比较，可以了解首先存在哪些模型，以便你在决定选择去中心化还是中心化之前做出明智判断。<>
这次攻击并没有破坏代码，而是破坏了代码计算所使用的数字。
每个严肃的协议都会发布其参数。在Nostra，你可以在docs.nostra.finance找到它们；在其他协议中，该部分通常称为“市场”、“风险参数”或“资产列表”。四个数字足以进行初步评估。
第一：哪些代币被批准为抵押品？
不是你可以存入的代币，而是可以作为抵押品借出的代币。这是两个不同的列表，第二个列表更具危险性。寻找协议自身的代币——如果它出现在抵押品列表中，请仔细审查。
第二：每种抵押品的借款上限是多少？
将其与该代币的市值进行比较。在Nostra的案例中，针对NSTR可借出的金额超过了其全部流通供应量的市值。
第三：是否适用隔离模式？
如果是，适用于哪些代币？你的余额是位于共享池还是隔离池中？
第四：价格由谁提供？
详见下文。
文档通常会说明使用哪家价格提供商。比起提供商名称，更值得关注的是以下两个问题的答案：协议是从多个独立来源获取价格，还是完全依赖单一来源？是否存在合理性限制，即在几分钟内价格跳跃数倍时冻结头寸？
备用预言机是当第一个提供商提供不可信数值时介入或提出异议的第二个价格来源。这正是Nostra在2025年3月25日受影响的资产中所缺乏的。如果你在文档中找不到相关说明，这并不是绿灯信号，而是一个可以向团队在公共频道提出的开放性问题。不回答的协议已经给出了答案。
我们曾在早期事件中提出过相同的问题。在8月底Base链上的Moonwell漏洞事件中，被操纵价格的是协议自身代币MAMO。这种模式在过去几个月里以不同的名字反复出现。
Nostra事件并非孤立案例，而是系列事件中的最新一起。根据交易所KuCoin在9月初 circulated 的数据，去中心化借贷协议在2026年迄今已记录了32起单独的价格操纵攻击——按此计数，创下了该领域的记录。因此，今年大约八分之一的加密黑客攻击可追溯至此种形式的攻击。单笔最大损失发生在Cronos链上的Tectonic，在约20分钟内价格飙升百倍后，借出了约7500万美元。该数字来自市场参与者而非独立审计师；它展示了一个数量级，而非官方统计数据。
为了了解这一情况在我们的报道中如何体现，我们统计了cryptoticker.io的德语档案库。方法：在2026年9月18日查询编辑数据库，查找自2026年7月1日以来所有地址中包含“exploit”或“hack”术语的德语文章，随后对手动审核的结果进行人工复核。结果：在十一周内记录了21起事件。其中六起影响了借贷市场或其价格来源——7月的Ostium，8月底的Ajna、Tectonic、Moonwell和More Markets，以及9月初跨四条链的价格服务被入侵。本分析由cryptoticker.io于2026年9月18日自行完成。
我们无法用此衡量的是总事件数量。我们的统计仅涵盖我们自己报道的内容，且标题中不包含这两个搜索词的文章会漏网。这个数字作为趋势指示是有用的，而非损害资产负债表。尽管如此，聚类现象依然引人注目：六起借贷市场案例中有四起集中在8月底的一周内。
许多人低估的部分发生在攻击之后。Nostra不仅停止了借款，还停止了取款。从协议的角度来看，这是正确的，否则最快移动的用户会清空剩余资金，导致损失分配不均。对你而言这意味着：在你最急需取出资金的那一刻，大门关闭了。
由此引出一个令人不适但有用的练习。在存入资金前问自己，如果这笔金额被无限期冻结，你能忍受多久。不是问你是否能承受损失——那是显而易见的问题——而是问你是否会在未来几周内不需要这笔钱。任何人将资金用于缴税或支付即将到来的账单，都不适合放入资金市场。
你还可以检查谁有权触发此类暂停。在大多数协议中，这一权利掌握在一小圈密钥持有者手中，有时带有时间锁机制，需要一定的等待时间。这两者在文档的“治理”或“管理员密钥”部分均有注明。<
>
当资金市场暂停时，禁令同样适用于存款人，即使那些从未借款的人。
资金市场中高额存款利率的产生是因为有人愿意支付该利率。谁会为贷款支付双位数的利率？通常，是那些利用借入资金建立预期回报更高的头寸的人——或者是那些提供了在其他地方无法借出的抵押品的人。第二种情况正是导致Nostra损失的原因。
这并不意味着高利率自动构成警告信号。它意味着利率告诉你应该在哪里寻找线索。如果列表中有一个引人注目的高利率旁边伴随着一个异质的抵押代币，你就找到了解释。如果列表中只有Ether和成熟的稳定币，那么利率可能是需求的体现，而非风险的反映。
这种比较并非非黑即白，任何将其简化为清晰界限的人都在过度简化。在使用去中心化资金市场时，你承担参数、价格 feed 和程序代码的风险。你可以查阅所有这些内容，只要协议的密钥管理得当，没有人能随意提取你的余额。
在使用中心化服务商时，你承担的是交易对手风险：服务商会将你的余额再次贷出，而你通常无法检查底层抵押品是否保值。作为交换，你有一个可联系的合同伙伴，且在拥有欧洲授权的服务商处，还有一个监管机构。哪种形式适合你，取决于你更愿意阅读参数还是合同条款。
第三条路线是不进行借贷。任何将资产保留在自己托管状态的人都放弃了利息，从而排除了这两种风险。这不是一种浪漫主义立场，而是一种清醒的认识：每年百分之几的回报并不值得承担所有的违约风险，近几周的事件表明，违约并非例外。
存入前查看抵押品列表。
查明哪些代币可作为抵押品借出，每种代币的借款上限是多少，以及是否超过该代币的市值。如果你想知道预先哪些提供商符合条件以及计息模型有何不同，我们的质押和收益平台概览有助于缩小候选名单。
澄清你是否真的需要这些利息。
计算一年收益在你的金额上带来多少，并将其与市场暂停数周的情况进行对比。如果两者相差不大，自我托管是更简单的答案；合适的设备类型见我们的硬件钱包比较。
随时记录存款和取款。
如果协议进入清算阶段，你日后需要时间和金额的记录——无论是为了报税还是可能的损失抵扣。投资组合跟踪器可以帮你处理这些事务；你可以在加密货币税务软件和组合追踪器栏目中找到精选列表。
此外，如果你已经受到影响：在回应承诺快速恢复资金的报价前，等待团队的官方结算。每次重大事件后，都会出现伪装成恢复服务的账户，实际上是为了获取钱包访问权限。Nostra清算的细节已在安全报告的编年史中汇总。
（截至2026年9月18日。本文不构成投资建议。价格和费用结构会发生变化；购买前请与提供商核实条款。）
声明：文章不代表币圈网立场和观点，不构成本站任何投资建议。内容仅供参考！
免责声明:本站所有内容仅供用户学习和研究,不构成任何投资建议.不对任何信息而导致的任何损失负责.谨慎使用相关数据和内容,并自行承担所带来的一切风险.