72起閃電貸攻擊釀12.11億美元損失，研究分析DeFi漏洞類型

2020年2月至2024年7月，去中心化金融（DeFi）發生72起閃電貸攻擊，造成12.11億美元損失。一項研究將攻擊手法分為14類，主要涉及操縱價格資訊，以及利用協議設計或執行缺陷。

溫徹斯特大學（University of Winchester）教授提姆・霍爾（Tim Hall）與雷莫・施蒂格（Remo Stieger）發表的論文《Flash in the Pan?: Analyzing Flash Loan Attacks on the DeFi Ecosystem》，統計同一期間DeFi成功攻擊共254起，損失總額為65.68億美元。閃電貸攻擊占72起，約占總損失的18.44%。論文已公開於溫徹斯特大學研究典藏庫。

研究涵蓋以太幣（ETH）、Base、Optimism（OP）、Arbitrum（ARB）、BNB Chain、Avalanche（AVAX）及Polygon等7條區塊鏈。研究團隊分析了206.3億筆鏈上交易，也檢視公開的攻擊相關討論，並訪談受害平台相關人士。

閃電貸是一種無需抵押的借貸方式，借出的資產必須在同一筆區塊鏈交易中償還。若交易結束時未符合還款條件，整筆交易便不會執行。閃電貸也可用於套利，但攻擊者可能藉此扭曲價格資訊，或利用協議漏洞。

研究團隊將攻擊分為操縱價格資訊，以及利用協議邏輯缺陷兩類。價格資訊是協議判斷資產價格時參照的資料；若遭到操縱，協議可能錯誤判斷抵押品價值或交易條件。另一類攻擊則直接利用平台設計或執行流程中的缺陷。

論文摘要指出，攻擊活動隨時間呈現明顯模式，但摘要未列出各類攻擊的損失占比或分時段細節數據。研究統計範圍截至2024年7月，因此僅憑這項研究，無法判斷其後的攻擊趨勢或目前的安全狀況。

研究期間結束後，仍有攻擊者使用閃電貸發動攻擊。去中心化交易所Bunni於2025年9月遭受一場造成840萬美元損失的攻擊，並於同年10月宣布永久停止營運。這起事件不在論文統計範圍內。