Protokol peminjaman Starknet, Vesu, melaporkan bahwa umpan harga Pragma yang salah memicu likuidasi abnormal 47 posisi yang memegang agunan senilai $3 juta pada 4 September.
Vesu menyatakan dalam pengungkapan insiden 5 September bahwa likuidasi terjadi antara pukul 04:08 dan 04:10 UTC pada 4 September setelah sumber harga hulu yang dioperasikan oleh Pragma memasok data yang salah.
Selama insiden dua menit tersebut, harga yang salah mencapai beberapa pool likuiditas Vesu dan membuat 47 posisi peminjaman tampak memenuhi syarat untuk dilikuidasi. Likuidator otomatis kemudian menghapus sekitar $3 juta dalam bentuk agunan sebelum umpan kembali ke nilai yang benar.
Menurut protokol, sumber harga mengoreksi dirinya sendiri dalam waktu dua menit dan telah beroperasi secara normal sejak saat itu. Vesu tidak mengidentifikasi aset yang terkena dampak atau memberikan rincian pool per pool dalam pernyataan awalnya.
Perusahaan juga tidak mengungkapkan seberapa jauh harga yang salah berbeda dari kurs pasar, jumlah utang yang melekat pada posisi yang dilikuidasi, atau berapa banyak agunan yang ditahan oleh likuidator. Laporan teknis yang mencakup insiden ini diharapkan akan memberikan informasi lebih lanjut tentang pasar yang terkena dampak dan urutan transaksi on-chain.
Pragma sejak itu telah bekerja sama dengan organisasi terkait untuk menerapkan perbaikan yang mengatasi sumber kesalahan, kata Vesu. Kurator pool likuiditas menangguhkan pool yang terkena dampak sebagai tindakan pencegahan, dengan Vesu berharap mereka akan menghapus pembatasan setelah meninjau perbaikan tersebut.
Karena Vesu menggunakan pool peminjaman yang terisolasi dan dikurasi, keputusan untuk membuka kembali pasar individual berada di tangan kuratornya. Pembaruan awal tidak mengidentifikasi kurator mana yang telah menghentikan pool mereka atau memberikan jadwal pasti untuk mengembalikan aktivitas normal.
Memisahkan insiden ini dari eksploitasi kontrak pintar, Vesu menyatakan bahwa kontraknya "beroperasi sesuai desain" dan tidak mengandung kerentanan. Protokol tersebut menambahkan bahwa mereka tidak memiliki patch kontrak untuk diterapkan karena mesin likuidasi merespons harga yang diterimanya.
Di pasar peminjaman dengan agunan berlebih, peminjam menyetorkan aset yang nilainya lebih besar dari nilai pinjaman. Protokol menggunakan umpan harga eksternal untuk mengukur rasio agunan, dan likuidasi dapat dimulai ketika rasio tersebut turun di bawah tingkat yang disyaratkan pool.
Vesu mengaitkan likuidasi 4 September dengan input yang salah daripada eksekusi yang salah. Menurut keterangannya, kontrak menerima harga agunan yang salah dan memproses posisi yang terkena dampak sesuai dengan aturan yang telah ditulis dalam protokol.
Penjelasan risiko likuidasi Juli 2026 dari crypto.news menggambarkan data harga sebagai input sentral yang digunakan untuk menghitung faktor kesehatan pinjaman DeFi. Laporan tersebut mencatat bahwa data usang atau dimanipulasi dapat melikuidasi posisi yang sehat atau mencegah posisi tidak aman ditutup.
Ketergantungan oracle juga melampaui pasar peminjaman. Sebuah laporan Agustus 2026 tentang oracle blockchain menjelaskan bahwa kontrak pintar tidak dapat secara independen membaca harga pasar off-chain, membuat mereka bergantung pada sistem eksternal yang mengumpulkan, menggabungkan, dan menerbitkan data on-chain.
Menurut laporan tersebut, oracle biasanya menangani pencarian data, agregasi, dan pengiriman on-chain. Kegagalan pada salah satu dari tiga tahap tersebut dapat menyampaikan nilai yang tidak akurat ke kontrak pintar yang berfungsi, yang kemudian dapat menyelesaikan perdagangan atau likuidasi berdasarkan input yang salah tersebut.
Setelah insiden tersebut, Vesu menyatakan bahwa mereka mulai berkoordinasi dengan Pragma, StarkWare, Starknet Foundation, dan kurator pool yang terkena dampak untuk memulihkan dana yang terkumpul melalui likuidasi.
Protokol tersebut belum menjelaskan bagaimana proses pemulihan akan beroperasi, berapa banyak dari $3 juta yang masih dapat dipulihkan, atau apakah likuidator telah setuju untuk mengembalikan aset apa pun. Pernyataan mereka juga tidak sampai pada pengumuman jumlah penggantian yang dijamin atau tanggal pembayaran.
Bagi pengguna dengan deposit di produk Earn Vesu, protokol menyarankan untuk menjaga posisi mereka tetap terbuka. Menutup posisi Earn sebelum proses pemulihan selesai dapat menghilangkan kelayakan pengguna untuk mendapatkan pengembalian dana, menurut Vesu.
Peminjam yang posisinya dilikuidasi selama jendela dua menit diminta untuk membuka tiket dukungan melalui server Discord Vesu. Protokol tidak merinci catatan apa yang harus diserahkan pengguna, meskipun alamat dompet dan detail transaksi dapat mengidentifikasi posisi yang terkena dampak secara on-chain.
Tanggapan Vesu berbeda dari pembalikan otomatis karena transaksi blockchain umumnya bersifat final setelah konfirmasi. Oleh karena itu, setiap pemulihan akan membutuhkan aset yang dipulihkan, pengembalian sukarela dari likuidator, dana yang dikendalikan protokol, atau pengaturan kompensasi lain yang disepakati oleh para pihak. Vesu belum menyatakan jalur mana yang akan digunakannya.
Peristiwa terkait oracle yang sebanding terjadi di Aave pada Maret 2026, ketika parameter usang menyebabkan perkiraan $26 juta hingga $27 juta dalam likuidasi wstETH yang tidak disengaja. Tinjauan Agustus 2026 tentang insiden tersebut melaporkan bahwa Aave kemudian memeriksa tingkat pembaruan oracle dan sistem cadangan saat menggunakan beberapa sumber oracle untuk jenis agunan utama.
Vesu belum mengumumkan perubahan serupa pada struktur oraclenya. Perbaikan akar penyebab Pragma adalah satu-satunya tindakan teknis yang dikonfirmasi dalam pengungkapan awal.
Bagi pengguna di Amerika Serikat, insiden ini melibatkan produk DeFi tanpa izin daripada rekening bank yang diasuransikan. Situs web Investor.gov SEC menyatakan bahwa FDIC mengasuransikan deposito di bank yang memenuhi syarat tetapi tidak melindungi sekuritas atau investasi serupa terhadap penurunan nilai.
Vesu tidak menunjuk pada perlindungan yang didukung pemerintah untuk pengguna yang terkena dampak. Sebaliknya, mereka mengarahkan pengguna ke proses dukungan mereka sendiri dan menyatakan bahwa organisasi yang terlibat sedang berupaya memulihkan agunan yang diambil selama likuidasi abnormal.
Protokol tersebut belum mengungkapkan apakah mereka membatasi pemulihan berdasarkan kebangsaan atau tempat tinggal. Instruksinya berlaku untuk pengguna yang posisinya dilikuidasi selama jendela yang teridentifikasi dan untuk deposan Earn yang ingin mempertahankan potensi kelayakan pengembalian dana.
Pada tingkat jaringan, Vesu merupakan bagian dari infrastruktur DeFi Starknet. Starknet mengidentifikasi pemberi pinjaman sebagai salah satu protokol yang mendukung peluncuran privasi STRK20-nya pada Juni 2026, bersama dengan bursa terdesentralisasi avnu dan Ekubo serta penyedia staking Endur.
Vesu menyatakan akan menerbitkan laporan teknis lengkap setelah penyelidikannya, sementara peminjam yang terkena dampak dapat mengirimkan tiket dukungan Discord, dan pengguna Earn telah diminta untuk tidak menutup posisi mereka.
STRK
