72 vụ tấn công flash loan gây thiệt hại 1,211 tỷ USD cho DeFi

72 vụ tấn công flash loan trong lĩnh vực tài chính phi tập trung (DeFi) từ tháng 2/2020 đến tháng 7/2024 gây thiệt hại 1,211 tỷ USD (khoảng 1.626,4 tỷ won), theo kết quả một nghiên cứu. Nhóm nghiên cứu phân loại 14 kiểu tấn công, gồm thao túng nguồn cấp dữ liệu giá và khai thác lỗi trong thiết kế hoặc vận hành giao thức.

Bài nghiên cứu “Flash in the Pan?: Analyzing Flash Loan Attacks on the DeFi Ecosystem” do giáo sư Tim Hall thuộc Đại học Winchester và Remo Stieger công bố, ghi nhận tổng thiệt hại 6,568 tỷ USD (khoảng 8.820 tỷ won) từ 254 vụ tấn công thành công vào DeFi trong cùng giai đoạn. Trong đó, 72 vụ có sử dụng flash loan, chiếm 18,44% tổng thiệt hại. Bài nghiên cứu được đăng trên kho lưu trữ nghiên cứu của Đại học Winchester.

Phạm vi phân tích gồm bảy blockchain: Ethereum (ETH), Base, Optimism (OP), Arbitrum (ARB), BNB Chain, Avalanche (AVAX) và Polygon. Nhóm nghiên cứu xem xét 20,63 tỷ giao dịch on-chain, cùng các thảo luận công khai liên quan đến những vụ tấn công và phỏng vấn đại diện các nền tảng bị ảnh hưởng.

Flash loan là khoản vay tài sản không cần thế chấp, được hoàn trả trong cùng một giao dịch blockchain. Nếu không đáp ứng điều kiện trả nợ khi giao dịch kết thúc, toàn bộ giao dịch sẽ không được xử lý. Tính năng này cũng được dùng trong giao dịch chênh lệch giá, nhưng kẻ tấn công có thể dùng số vốn vay để làm sai lệch dữ liệu giá hoặc khai thác lỗ hổng của giao thức.

Nhóm nghiên cứu chia các kiểu tấn công thành thao túng nguồn cấp dữ liệu giá và khai thác lỗi logic của giao thức. Nguồn cấp dữ liệu giá cung cấp thông tin để giao thức xác định giá tài sản; nếu dữ liệu bị thao túng, nền tảng có thể đánh giá sai giá trị tài sản thế chấp hoặc điều kiện giao dịch. Các kiểu còn lại khai thác trực tiếp lỗi trong thiết kế hoặc quá trình vận hành nền tảng.

Tóm tắt bài nghiên cứu cho biết hoạt động tấn công có những mô hình rõ rệt theo từng giai đoạn. Tuy nhiên, phần tóm tắt không nêu tỷ trọng thiệt hại theo từng kiểu tấn công hoặc số liệu chi tiết theo thời kỳ. Phạm vi thống kê chỉ kéo dài đến tháng 7/2024, nên riêng nghiên cứu này không đủ để đánh giá xu hướng tấn công sau đó hay mức độ bảo mật hiện nay.

Các vụ tấn công sử dụng flash loan vẫn được ghi nhận sau giai đoạn nghiên cứu. Sàn giao dịch phi tập trung Bunni chịu một vụ tấn công gây thiệt hại 8,4 triệu USD (khoảng 11,2812 tỷ won) vào tháng 9/2025, rồi thông báo đóng cửa vĩnh viễn vào tháng 10 cùng năm. Vụ việc này không nằm trong thống kê của nghiên cứu.