การโจมตี Flash Loan 72 ครั้ง ทำ DeFi เสียหาย 1.211 พันล้านดอลลาร์

ผลการศึกษาพบว่า การโจมตี Flash Loan ในการเงินแบบกระจายศูนย์ (DeFi) จำนวน 72 ครั้ง ระหว่างเดือนกุมภาพันธ์ 2020 ถึงกรกฎาคม 2024 สร้างความเสียหาย 1.211 พันล้านดอลลาร์สหรัฐ ทีมวิจัยแบ่งรูปแบบการโจมตี 14 ประเภทออกเป็นการบิดเบือนข้อมูลราคาและการใช้ประโยชน์จากข้อบกพร่องด้านการออกแบบหรือการทำงานของโปรโตคอล

บทความวิจัยเรื่อง ‘Flash in the Pan?: Analyzing Flash Loan Attacks on the DeFi Ecosystem’ โดยทิม ฮอลล์(Tim Hall) ศาสตราจารย์มหาวิทยาลัยวินเชสเตอร์ และเรโม ชทีเกอร์(Remo Stieger) ประเมินว่า การโจมตี DeFi ที่สำเร็จในช่วงเดียวกัน 254 ครั้ง สร้างความเสียหายรวม 6.568 พันล้านดอลลาร์สหรัฐ การโจมตี Flash Loan คิดเป็น 72 ครั้ง หรือ 18.44% ของความเสียหายทั้งหมด บทความเผยแพร่ในคลังงานวิจัยของมหาวิทยาลัยวินเชสเตอร์

การวิเคราะห์ครอบคลุมบล็อกเชน 7 เครือข่าย ได้แก่ อีเธอเรียม(ETH), เบส(Base), ออปติมิซึม(OP), อาร์บิทรัม(ARB), BNB Chain, อวาแลนช์(AVAX) และโพลิกอน(Polygon) ทีมวิจัยตรวจสอบธุรกรรมบนเชน 20.63 พันล้านรายการ รวมถึงการอภิปรายสาธารณะเกี่ยวกับการโจมตีและการสัมภาษณ์ผู้เกี่ยวข้องกับแพลตฟอร์มที่ได้รับผลกระทบ

Flash Loan คือการกู้สินทรัพย์โดยไม่ต้องวางหลักประกันและชำระคืนภายในธุรกรรมเดียวกันบนบล็อกเชน หากชำระคืนไม่ครบตามเงื่อนไขเมื่อธุรกรรมสิ้นสุด รายการทั้งหมดจะไม่ถูกดำเนินการ กลไกนี้ใช้ในการทำอาร์บิทราจได้ แต่ผู้โจมตีอาจนำเงินที่กู้ไปบิดเบือนข้อมูลราคา หรือโจมตีช่องโหว่ของโปรโตคอล

ทีมวิจัยจำแนกการโจมตีเป็นการบิดเบือนฟีดราคาและการใช้ข้อบกพร่องในตรรกะของโปรโตคอล ฟีดราคาคือข้อมูลที่โปรโตคอลใช้อ้างอิงเพื่อประเมินราคาสินทรัพย์ หากถูกบิดเบือน ระบบอาจประเมินมูลค่าหลักประกันหรือเงื่อนไขการซื้อขายผิดพลาด ส่วนการโจมตีอีกกลุ่มมุ่งใช้ข้อบกพร่องโดยตรงในขั้นตอนการออกแบบหรือการทำงานของแพลตฟอร์ม

บทคัดย่อของงานวิจัยระบุว่า กิจกรรมการโจมตีมีรูปแบบแตกต่างกันอย่างชัดเจนในแต่ละช่วงเวลา อย่างไรก็ตาม บทคัดย่อไม่ได้ให้สัดส่วนความเสียหายแยกตามประเภทหรือข้อมูลเชิงลึกของแต่ละช่วงเวลา การศึกษาครอบคลุมข้อมูลถึงเดือนกรกฎาคม 2024 จึงไม่เพียงพอที่จะใช้ประเมินแนวโน้มการโจมตีหลังจากนั้นหรือระดับความปลอดภัยในปัจจุบัน

หลังพ้นช่วงเวลาที่ศึกษา ยังมีกรณีโจมตีที่ใช้ Flash Loan เกิดขึ้น ตลาดซื้อขายแบบกระจายศูนย์ Bunni เผชิญการโจมตีมูลค่า 8.4 ล้านดอลลาร์สหรัฐในเดือนกันยายน 2025 และประกาศยุติการดำเนินงานถาวรในเดือนตุลาคมปีเดียวกัน เหตุการณ์นี้ไม่รวมอยู่ในการรวบรวมข้อมูลของงานวิจัย