Le protocole de prêt Starknet Vesu a signalé qu'une alimentation de prix Pragma défectueuse a déclenché la liquidation anormale de 47 positions détenant 3 millions de dollars de garanties le 4 septembre.
Vesu a déclaré dans une divulgation d'incident du 5 septembre que les liquidations ont eu lieu entre 04h08 et 04h10 UTC le 4 septembre après qu'une source de prix amont exploitée par Pragma ait fourni des données incorrectes.
Au cours de l'incident de deux minutes, les prix défectueux ont atteint plusieurs pools de liquidités Vesu et ont rendu 47 positions d'emprunt éligibles à la liquidation. Des liquidateurs automatisés ont alors retiré environ 3 millions de dollars de garanties avant que le flux ne revienne à la valeur correcte.
Selon le protocole, la source de prix s'est corrigée d'elle-même en deux minutes et fonctionne normalement depuis lors. Vesu n'a pas identifié les actifs affectés ni fourni une ventilation pool par pool dans sa déclaration initiale.
La société n'a pas non plus divulgué l'ampleur de la différence entre les prix incorrects et les taux du marché, le montant de la dette associée aux positions liquidées, ni la quantité de garanties conservées par les liquidateurs. Un rapport technique couvrant l'incident devrait fournir plus d'informations sur les marchés affectés et la séquence des transactions on-chain.
Pragma a depuis travaillé avec les organisations pertinentes pour déployer un correctif résolvant la source de l'erreur, a déclaré Vesu. Les curateurs des pools de liquidités ont suspendu les pools affectés par précaution, Vesu s'attendant à ce qu'ils lèvent les restrictions après examen du correctif.
Étant donné que Vesu utilise des pools de prêt isolés et gérés, les décisions de réouverture des marchés individuels relèvent de leurs curateurs. La mise à jour initiale n'a pas identifié les curateurs ayant mis leurs pools en pause ni fourni de calendrier exact pour le rétablissement de l'activité normale.
Distingant l'incident d'un exploit de contrat intelligent, Vesu a déclaré que ses contrats fonctionnaient "comme prévu" et ne contenaient aucune vulnérabilité. Le protocole a ajouté qu'il n'avait aucun correctif de contrat à déployer car le moteur de liquidation a réagi aux prix qu'il a reçus.
Dans un marché de prêt surgaranti, un emprunteur dépose des actifs d'une valeur supérieure à celle du prêt. Le protocole utilise un flux de prix externe pour mesurer le ratio de garantie, et une liquidation peut commencer lorsque ce ratio tombe en dessous du niveau requis par le pool.
Vesu a attribué les liquidations du 4 septembre à de mauvaises entrées plutôt qu'à une exécution défectueuse. Selon son explication, les contrats ont reçu des prix de garantie incorrects et ont traité les positions affectées conformément aux règles déjà inscrites dans le protocole.
Un article explicatif sur le risque de liquidation de juillet 2026 de crypto.news a décrit les données de prix comme l'entrée centrale utilisée pour calculer le facteur de santé d'un prêt DeFi. Le rapport a noté que des données obsolètes ou manipulées peuvent liquider une position saine ou empêcher la fermeture d'une position dangereuse.
La dépendance aux oracles s'étend également au-delà des marchés de prêt. Un rapport d'août 2026 sur les oracles blockchain a expliqué que les contrats intelligents ne peuvent pas lire indépendamment les prix du marché hors chaîne, les rendant dépendants de systèmes externes qui collectent, combinent et publient des données on-chain.
Selon ce rapport, un oracle gère normalement l'approvisionnement en données, l'agrégation et la livraison on-chain. Une défaillance à l'une des trois étapes peut transmettre une valeur inexacte à un contrat intelligent autrement fonctionnel, qui peut alors effectuer une transaction ou une liquidation basée sur l'entrée défectueuse.
Suite à l'incident, Vesu a déclaré avoir commencé à coordonner avec Pragma, StarkWare, la Fondation Starknet et les curateurs des pools affectés pour récupérer les fonds collectés par le biais des liquidations.
Le protocole n'a pas encore expliqué comment le processus de recouvrement fonctionnera, quelle part des 3 millions de dollars reste récupérable, ou si les liquidateurs ont accepté de restituer des actifs. Sa déclaration n'a pas non plus annoncé de montant de remboursement garanti ni de date de paiement.
Pour les utilisateurs ayant des dépôts dans le produit Earn de Vesu, le protocole a conseillé de maintenir leurs positions ouvertes. La fermeture d'une position Earn avant la fin du processus de recouvrement pourrait supprimer l'éligibilité de l'utilisateur à un remboursement, selon Vesu.
Les emprunteurs dont les positions ont été liquidées pendant la fenêtre de deux minutes ont été invités à ouvrir un ticket de support via le serveur Discord de Vesu. Le protocole n'a pas précisé quels enregistrements les utilisateurs doivent soumettre, bien que les adresses de portefeuille et les détails des transactions puissent identifier les positions affectées on-chain.
La réponse de Vesu diffère d'une annulation automatique car les transactions blockchain restent généralement définitives après confirmation. Toute restauration nécessiterait donc des actifs récupérés, des retours volontaires des liquidateurs, des fonds contrôlés par le protocole ou un autre accord de compensation convenu par les parties. Vesu n'a pas indiqué quelle voie il compte utiliser.
Un événement comparable lié à l'oracle s'est produit sur Aave en mars 2026, lorsqu'un paramètre obsolète a provoqué des liquidations involontaires de wstETH d'un montant estimé à 26 à 27 millions de dollars. Un examen de l'incident d'août 2026 a rapporté qu'Aave a par la suite examiné les taux de mise à jour des oracles et les systèmes de secours tout en utilisant plusieurs sources d'oracles pour les principaux types de garanties.
Vesu n'a pas annoncé de changements comparables à sa structure d'oracle. Le correctif de cause première de Pragma a été la seule mesure technique confirmée dans la divulgation initiale.
Pour les utilisateurs aux États-Unis, l'incident implique un produit DeFi sans permission plutôt qu'un compte bancaire assuré. Le site Web Investor.gov de la SEC indique que la FDIC assure les dépôts dans les banques éligibles mais ne protège pas les titres ou investissements similaires contre une baisse de valeur.
Vesu n'a pas signalé de protection soutenue par le gouvernement pour les utilisateurs affectés. Au lieu de cela, il les a dirigés vers son propre processus de support et a déclaré que les organisations impliquées travaillaient à récupérer les garanties prises lors des liquidations anormales.
Le protocole n'a pas divulgué s'il restreint le recouvrement par nationalité ou par résidence. Ses instructions s'appliquent aux utilisateurs dont les positions ont été liquidées pendant la période identifiée et aux déposants Earn cherchant à préserver une éventuelle éligibilité au remboursement.
Au niveau du réseau, Vesu fait partie de l'infrastructure DeFi de Starknet. Starknet a identifié le prêteur comme l'un des protocoles soutenant le déploiement de sa confidentialité STRK20 en juin 2026, aux côtés des échanges décentralisés avnu et Ekubo et du fournisseur de staking Endur.
Vesu a déclaré qu'il publierait un rapport technique complet après son enquête, tandis que les emprunteurs affectés peuvent soumettre des tickets de support Discord, et il a été conseillé aux utilisateurs Earn de ne pas fermer leurs positions.
STRK
