DeFi недосчитался $1,2 миллиарда из-за мгновенных займов

Сектор DeFi cripto лишился $1,211 млрд за период с февраля 2020 по июль 2024 года из-за атак через flash loan - так называемые мгновенные займы без залога, которые злоумышленники давно превратили в один из самых эффективных инструментов для вывода денег из протоколов. Новое исследование, опубликованное в Journal of Financial Crime, насчитало 72 таких инцидента и показало, что ущерб для DeFi cripto индустрии растет вместе с тем, как сами атаки становятся изощреннее.

Как работают flash loan атаки в DeFi cripto

Механизм мгновенного займа сам по себе не злодейский - это легитимный инструмент, которым пользуются арбитражники и трейдеры по всему рынку DeFi cripto. Протокол выдает любую сумму без залога при одном условии: долг должен быть возвращен в рамках той же самой блокчейн-транзакции. Если на обратном шаге денег не хватает, вся транзакция просто откатывается, как будто ничего не произошло. Проблема в том, что эта же механика дает злоумышленнику доступ к огромным суммам капитала на несколько секунд - ровно столько, сколько нужно, чтобы продавить цену на бирже, обмануть оракул или воспользоваться дырой в логике смарт-контракта.

Исследование провели профессор Тим Холл из University of Winchester и Ремо Штайгер, бывший партнер швейцарской компании SyntiFi, специализирующейся на риск-аналитике. Они проанализировали 254 успешные атаки на DeFi-протоколы за четыре с половиной года, которые в сумме принесли $6,568 млрд убытков. Доля flash loan атак в этой сумме составила 18,44% - то есть почти пятая часть всего, что индустрия потеряла от атак любого типа.

Цифры исследования: от $80 тысяч до $197 миллионов за один раз

Разброс по суммам отдельных атак впечатляет сам по себе. Минимальный зафиксированный ущерб составил $80 тысяч, а максимальный - $197 млн за один инцидент. При этом атаки, в которых злоумышленники забирали $10 млн и больше, вместе дали свыше 88% всех потерь от flash loan эксплойтов. Это довольно типичная картина для киберпреступности: большинство попыток мелкие и неудачные, а реальный урон наносят единичные крупные операции.

Больше 80% убытков от flash loan атак пришлось на сеть Ethereum - именно там исторически сосредоточена основная ликвидность и самые сложные протоколы, что делает сеть главной мишенью. Подробнее о том, как изменилась структура ликвидности в Ethereum на фоне роста курса и внимания к сети, мы писали в материале о том, что эфириум обогнал биткоин по росту, но рынок стал тоньше, чем кажется. Тонкая ликвидность, кстати, сама по себе облегчает манипуляции через flash loan, потому что цену на отдельных парах легче продавить разовым крупным займом.

Логические эксплойты обходят ценовые оракулы

Авторы работы выделили 14 разновидностей flash loan атак, которые делятся на две большие группы. Первая - манипуляции с ценовыми оракулами, когда злоумышленник временно искажает курс актива внутри протокола. Вторая - эксплуатация изъянов в самой логике смарт-контракта, не связанных с ценой напрямую. Логические эксплойты встречаются реже, но стоят протоколам намного дороже каждый раз, когда случаются.

Доля логических атак в общих потерях выросла с 28% в период с февраля 2020 по январь 2022 года до 55% с февраля 2022 по июль 2024 года. Четыре типа атак - манипуляции с оракулами, эксплойты через donate-функции, реентрантность и одна-единственная атака на систему управления протоколом, обошедшаяся в $181 млн, - в сумме дали больше 81% всех убытков.

Мы сейчас наблюдаем преступления, которых раньше не существовало в таком виде. Некоторые из них способны вытащить поражающие воображение суммы, часто десятки миллионов долларов, - заявил профессор Тим Холл.

Что происходит с командами после атаки

Отдельная часть исследования построена на интервью с представителем одной из платформ, пережившей крупную flash loan атаку. Пострадавшая команда согласилась говорить на условиях анонимности. По словам представителя, уязвимость прошла проверку как внутренней команды, так и нескольких внешних аудиторов, и оставалась незамеченной в блокчейне больше года, прежде чем ее нашли и использовали.

После атаки злоумышленник начал открыто насмехаться над пострадавшим проектом в социальных сетях, что привело к неожиданному эффекту - жертвы атаки стали напрямую переписываться с атакующим и описывать, как потеря денег разрушила их жизнь и планы. Представитель платформы разделил атакующих на две категории: отдельных энтузиастов-исследователей и организованные профессиональные группы, в том числе связанные с государственными структурами, упомянув Северную Корею. По его оценке, с точки зрения чистой техники атаки профессиональных групп совсем не выглядят продвинутыми - они просто действуют методично и без ошибок.

Чаще всего такие атаки раскалывают команду и разрушают её изнутри, даже когда украденные средства в итоге возвращают, - отметил представитель пострадавшей платформы.

Из свежих примеров авторы упоминают децентрализованную биржу Bunni, которая закрылась в октябре 2025 года после эксплойта с использованием flash loan на $8,4 млн, объяснив, что не может позволить себе безопасный перезапуск. Этот случай произошел уже после завершения периода, охваченного исследованием, но хорошо показывает, что риск для DeFi cripto далеко не исчерпан.

DeFi vs CeFi и зоопарк инструментов для мониторинга

Дискуссия defi vs cefi - кому доверять деньги, децентрализованному протоколу или централизованной бирже - не теряет актуальности именно из-за таких инцидентов. С одной стороны, cefi defi crypto модели комбинируют, пытаясь взять прозрачность DeFi и ликвидность CeFi одновременно. С другой стороны, централизованные игроки тоже активно выходят в децентрализованный сектор: достаточно вспомнить, как материнская компания Kraken двигается в сторону расчетов в реальном времени, о чем мы рассказывали в материале про запуск расчетов 24/7 между Payward и Singapore Gulf Bank. Даже крупная биржа вроде binance defi направления держит отдельные продукты именно потому, что спрос на доходность внутри DeFi не падает несмотря на риски.

Пользователям, которые хотят следить за состоянием рынка, обычно рекомендуют держать под рукой несколько трекеров: классические агрегаторы вроде defipulse, более новые панели типа defistation, а также сервисы учета портфеля наподобие de bank defi и мобильные приложения типа defiwallet для хранения активов в разных сетях. Атаки через flash loan не ограничиваются Ethereum - похожие схемы фиксировали и на defi bsc, и в сети Cronos (defi cronos), и даже на базе Cardano (defi ada) с ее собственной экосистемой токенов defi bep20. Отдельно стоит экосистема ton defi, которая растет вместе с интересом к Telegram-кошелькам и относительно молода с точки зрения проверенных аудитов, а значит потенциально привлекательна для тех же схем.

Среди протоколов, которые годами находятся под пристальным вниманием исследователей безопасности, называют bifi defi и его токен bifi finance coin, а также крупные ончейн-биржи типа Curve, данные о которых легко проверить через curve finance coingecko. Основатель одного из первых DeFi-проектов Юлиан Хосп со своим токеном, известным в поиске как defi coin julian hosp, не раз публично призывал пользователей внимательнее проверять аудит смарт-контрактов перед тем, как заводить туда деньги. На фоне таких инцидентов регуляторы тоже не остаются в стороне - тема cftc defi регулирования поднимается все чаще, и то, как дальше будет выглядеть надзор за децентрализованными финансами в США, во многом зависит от судьбы profильного законодательства, о чем мы писали в материале про то, как судьба Clarity Act зависит от Конгресса.

Что это значит для рынка дальше

Авторы исследования подчеркивают, что активность flash loan атак двигалась волнами роста и затухания - протоколы патчили найденные уязвимости, а злоумышленники переключались на новые слабые места, в том числе на более редкие, но дорогостоящие логические дефекты. При этом убытки от таких атак превысили 0,5% от общего объема средств, прошедших через flash loan, всего один раз за весь шестимесячный период наблюдений, а сам объем займов продолжал расти. Это позволило исследователям назвать угрозу значимой и растущей, но не экзистенциальной для DeFi cripto в целом.

Для обычного пользователя вывод довольно прагматичный. Перед тем как заводить средства в новый протокол, стоит проверять, проходил ли он серьезный аудит, насколько давно работает без инцидентов и какую долю ликвидности держит в одном пуле - именно концентрация капитала делает атаку через flash loan выгодной для злоумышленника. Профессор Холл отметил, что команда видит практическую ценность своей работы далеко за пределами академии.

Мы не хотим, чтобы это воспринималось просто как академическое исследование. У проведенного анализа масса применений - для криптовалютной индустрии, для регуляторов и для юридических и правоохранительных органов, - подытожил Тим Холл.

Автор

Barbados