Исследование: флеш-кредиты унесли из DeFi $1,211 млрд за 72 атаки

Атаки с использованием флеш-кредитов (flash loan) привели к потерям в $1,211 млрд ≈ 3,71 млрд BYN в секторе децентрализованных финансов (DeFi) с февраля 2020 по июль 2024 года. Об этом говорится в исследовании, опубликованном в Journal of Financial Crime. Авторы — профессор Уинчестерского университета Тим Холл и Ремо Штигер, бывший партнер швейцарской фирмы риск-аналитики SyntiFi.

Сколько всего потеряли

Исследователи насчитали 72 атаки с флеш-кредитами среди 254 успешных атак на DeFi за указанный период. Все 254 инцидента обошлись в $6,568 млрд ≈ 20,1 млрд BYN, из которых на флеш-кредиты пришлось 18,44%.

Более 80% потерь от флеш-кредитных атак произошли в сети Ethereum. Отдельные инциденты варьировались от $80 тыс. ≈ 245 тыс. BYN до $197 млн ≈ 604 млн BYN, при этом на атаки с ущербом от $10 млн ≈ 30,7 млн BYN и выше пришлось свыше 88% всех потерь.

Холл заявил, что «мы теперь видим преступления, которых не видели раньше», некоторые из них «способны украсть умопомрачительные суммы денег, часто в десятки миллионов долларов».

Флеш-кредиты позволяют заимствовать активы из пула ликвидности без залога при условии, что кредит будет погашен в рамках той же транзакции блокчейна. Атакующие используют их для получения крупных сумм, необходимых для проведения эксплойта.

Какие атаки дороже

Исследователи выделили 14 типов атак с флеш-кредитами, разделив их на две большие группы: манипуляции с ценовыми оракулами и эксплуатация ошибок в логике протокола. Эксплойты логики происходили реже, но приносили более высокие средние потери.

Доля эксплойтов логики в потерях от флеш-кредитных атак выросла с 28% в период с февраля 2020 по январь 2022 года до 55% с февраля 2022 по июль 2024 года.

Четыре типа атак обеспечили более 81% потерь: атаки на ценовые оракулы, эксплойты функции donate, атаки повторного входа (reentrancy) и одна атака на управление (governance), которая стоила $181 млн ≈ 555 млн BYN.

Активность атакующих проходила через фазы роста и консолидации, что, по мнению авторов, указывает на улучшение безопасности платформ после атак и поиск злоумышленниками новых уязвимостей.

Что говорят пострадавшие

В исследовании использовано интервью с представителем одной из платформ, пережившей крупную флеш-кредитную атаку. Он согласился говорить на условиях анонимности. По его словам, эксплуатировавшаяся уязвимость прошла проверку «нами и несколькими аудиторами» и оставалась незамеченной в блокчейне более года.

Холл рассказал, что после атаки злоумышленник начал «издеваться» над платформой в соцсетях, что «привело к тому, что некоторые жертвы вступили в контакт с атакующим и описали разрушительные последствия потери этих денег для них».

Представитель платформы разделил атакующих на «исследователей-любителей» и профессиональные группы уровня государственных структур или организованной преступности, упомянув Северную Корею. С точки зрения безопасности блокчейна атаки профессионалов «вовсе не передовые», сказал он.

Он также описал влияние атак на команды: «чаще всего это приводит к расколу и уничтожению команды», даже если средства удается вернуть.

Потери превысили 0,5% от стоимости заимствований через флеш-кредиты только в одном полугодии, при этом использование флеш-кредитов продолжало расти, говорится в работе.

Авторы характеризуют такие атаки как значительные, все более сложные и непредсказуемые, но «не экзистенциальные» угрозы для DeFi.

После завершения периода исследования децентрализованная биржа Bunni закрылась в октябре 2025 года после эксплойта на $8,4 млн ≈ 25,8 млн BYN, в котором использовались флеш-кредиты. Платформа заявила, что не может позволить себе безопасный перезапуск.

«Нам важно, чтобы это не воспринималось только как академическое исследование, — сказал Холл. — Проведенный нами анализ имеет множество применений для криптоиндустрии, регуляторов, а также юридических и правоохранительных органов».