Flash Loans: Cách kẻ tấn công đánh cắp hàng triệu USD trong một giao dịch

Cho vay tức thì trên DeFi đại diện cho một đổi mới công nghệ lớn, nhưng cũng là một lỗ hổng nghiêm trọng trong bảo mật giao thức. Chỉ trong vài giây, hàng triệu đô la có thể biến mất. Các cuộc tấn công này khai thác một tính năng độc đáo của Flash Loans: không có tài sản thế chấp và khớp lệnh ngay lập tức trong cùng một giao dịch.

Các khoản vay tức thì và những rủi ro tiềm ẩn của chúng

Khoản vay nhanh cho phép bạn vay một khoản tiền khổng lồ mà không cần đặt cọc, miễn là khoản vay được hoàn trả trước khi kết thúc cùng một giao dịch blockchain. Nếu không hoàn lại tiền, hoạt động sẽ bị hủy như thể chưa bao giờ diễn ra. Cơ chế này là hợp pháp cho chênh lệch giá, tái cấp vốn hoặc thanh lý.

Tuy nhiên, những kẻ tấn công đã chiếm quyền điều khiển công cụ này. Họ thực hiện một khoản vay lớn ngay lập tức để tạm thời thao túng giá của một token trong một sàn giao dịch phi tập trung (DEX). Sự thao túng này tạo ra sự bóp méo dữ liệu giá mà các oracle - nguồn thông tin bên ngoài - chuyển tiếp đến các giao thức khác. Những kẻ tấn công khai thác thông tin sai lệch này để trích xuất tài sản mà không được phép trên nền tảng thứ hai, hoàn trả Flash Loan và giữ chênh lệch lợi nhuận.

Các trường hợp tấn công được ghi nhận: Bài học bảo mật

Một số cuộc tấn công lớn minh họa mối đe dọa này. Vào năm 2020, bZx đã phải hứng chịu một cuộc tấn công tiêu tốn khoảng 1 triệu đô la. Kẻ tấn công đã thao túng giá thông qua Flash Loan để đánh lừa hệ thống thanh lý của giao thức. Cùng năm đó, Harvest Finance đã trải qua một vụ khai thác nghiêm trọng hơn nhiều: 34 triệu đô la biến mất trong vài phút sau một cuộc thao túng phối hợp giá của BUNNY và USDT.

Năm 2021 đánh dấu một bước ngoặt với PancakeBunny, công ty đã mất 45 triệu đô la trong một cuộc tấn công tương tự. Những sự cố này cho thấy ngay cả các giao thức đã được thiết lập vẫn dễ bị tổn thương trước loại mối đe dọa này.

Chiến lược bảo vệ và phòng ngừa

Các nghị định thư phải tăng cường khả năng phòng thủ của họ trên một số mặt trận. Đầu tiên, sử dụng các oracle giá đáng tin cậy như Chainlink làm giảm nguy cơ thao túng. Thứ hai, việc triển khai các cơ chế trì hoãn - đặc biệt là TWAP (Giá trung bình gia quyền theo thời gian) - giúp làm dịu các biến động giá hư cấu trong một khoảng thời gian nhất định, khiến việc thao tác trở nên rất tốn kém.

Thứ ba, hợp đồng thông minh phải xác minh dữ liệu đầu vào một cách có hệ thống và sử dụng nhiều chữ ký cho các hoạt động nhạy cảm. Cuối cùng, kiểm tra hợp đồng thường xuyên của các chuyên gia bảo mật là một biện pháp phòng ngừa cần thiết.

Các phương pháp hay nhất cho người dùng DeFi

Các nhà đầu tư nhỏ lẻ nên hết sức cảnh giác. Tránh để lại một khoản tiền lớn cho các giao thức chưa trải qua kiểm toán bên ngoài sẽ làm tăng tính bảo mật. Theo dõi tin tức về hoạt động và nhanh chóng hủy kích hoạt hoặc rút tiền trong trường hợp giao thức bị xâm phạm sẽ hạn chế tổn thất tiềm ẩn.

Chọn các nền tảng đã được chứng minh với hồ sơ theo dõi bảo mật mạnh mẽ giúp giảm đáng kể rủi ro. Hiểu cách thức hoạt động của Flash Loans và các lỗ hổng mà chúng tạo ra cho phép mọi người đưa ra lựa chọn sáng suốt trong hệ sinh thái phi tập trung.

Cho vay tức thì thể hiện tiềm năng đổi mới của DeFi. Nhưng giống như bất kỳ công cụ mạnh mẽ nào, chúng đòi hỏi sự hiểu biết rõ ràng và sự bảo vệ mạnh mẽ để ngăn chặn lạm dụng. Sự kết hợp của các phương pháp hay nhất về giao thức và sự cảnh giác của người dùng vẫn là biện pháp bảo vệ tốt nhất chống lại các cuộc tấn công này.