Journal of Financial Crime'de yayımlanan bir araştırmaya göre, Şubat 2020 ile Temmuz 2024 arasında 72 olayda flash loan saldırıları 1,211 milyar dolar kayba yol açtı.
Bu tutar, dönemde DeFi saldırılarında kaybedilen 6,568 milyar doların yüzde 18,44'üne denk geliyor ve flash loan kayıplarının yüzde 80'inden fazlası Ethereum'da gerçekleşti.
Protokol mantığındaki açıkları kullanan saldırılar daha nadirdi ama daha pahalıya mal oldu; platformlar istismar edilen zayıflıkları yamadıktan sonra saldırganlar yeni hedeflere yöneldikçe önemi arttı.
Journal of Financial Crime'de yeni yayımlanan araştırmaya göre, Şubat 2020 ile Temmuz 2024 arasında flash loan saldırıları merkeziyetsiz finans platformlarından 1,211 milyar dolar çekti.
Araştırma, Winchester Üniversitesi'nden Prof. Tim Hall ile İsviçreli risk istihbaratı şirketi SyntiFi'de eski ortak Remo Stieger tarafından hazırlandı. Dönemde DeFi'ye yönelik 254 başarılı saldırının 72'si flash loan saldırısıydı. Bu 254 saldırı 6,568 milyar dolar kayba neden oldu ve kayıpların yüzde 18,44'ü flash loan saldırılarından geldi.
Hall bir açıklamada, "şimdi daha önce hiç görmediğimiz suçlarla karşı karşıyayız" dedi; bazıları "genellikle on milyonlarca dolar düzeyinde akıl almaz miktarlarda para çalabilecek kapasitede".
Flash loan'lar, kredi aynı blok zinciri işleminde geri ödenmesi şartıyla teminat olmadan likidite havuzundan varlık ödünç almayı sağlıyor. Saldırganlar bir istismarı gerçekleştirmek için gereken büyük tutarlara ulaşmak için bunları kullanıyor.
Araştırmaya göre flash loan saldırı kayıplarının yüzde 80'inden fazlası Ethereum'da gerçekleşti. Tekil saldırılar 80 bin dolardan 197 milyon dolara kadar değişti ve 10 milyon dolar ya da daha fazlasını çalan saldırılar kayıpların yüzde 88'inden fazlasını oluşturdu.
Araştırmacılar 14 farklı flash loan saldırı türü tespit etti. Bunlar iki geniş gruba ayrılıyor: fiyat beslemelerini manipüle edenler ve protokolün temel mantığındaki açıkları istismar edenler. Mantık istismarları daha az sık görülüyordu ama ortalama kayıp daha yüksekti.
Makalenin aktardığına göre mantık istismarları Şubat 2020-Ocak 2022 arasında flash loan kayıplarının yüzde 28'ini oluştururken, Şubat 2022-Temmuz 2024 arasında bu oran yüzde 55'e çıktı.
Kayıpların yüzde 81'inden fazlası dört saldırı türünden kaynaklandı: fiyat oracle saldırıları, donate fonksiyonu mantık istismarları, yeniden giriş saldırıları ve 181 milyon dolara mal olan tek bir yönetişim saldırısı.
Flash loan saldırganları
Yazarlara göre saldırı faaliyeti büyüme ve konsolidasyon evrelerinden geçti; bu durum platformların saldırılardan sonra güvenliğini iyileştirdiğini, saldırganların ise yeni açıklar bulduğunu gösteriyor.
Araştırma, büyük bir flash loan saldırısına uğrayan ve isminin açıklanmasını istemeyen bir platformla yapılan görüşmeye dayanıyor. Platformun temsilcisi, istismar edilen hatanın "kendilerinin ve birkaç denetçinin" onayından geçtiğini ve blok zincirinde bir yıldan fazla fark edilmeden kaldığını söyledi.
Hall'a göre saldırgan daha sonra sosyal medyada platforma "alay etmeye" başladı; bu durum bazı mağdurların saldırganla etkileşime girmesine ve paranın kaybının kendileri üzerindeki yıkıcı etkilerini anlatmasına yol açtı.
Temsilci saldırganları "hobi amaçlı bireysel araştırmacılar" ile Kuzey Kore'yi örnek göstererek profesyonel devlet düzeyindeki ya da organize suç gruplarına ayırdı. Blok zinciri güvenliği açısından profesyonellerin saldırıları "hiç de ileri düzeyde değil" dedi.
Temsilci ayrıca saldırıya uğrayan ekipler üzerindeki etkiyi anlattı; "çoğu zaman fonlar kurtarılsa bile ekipler parçalanıyor ve yok oluyor" dedi.
Makale, kayıpların flash loan'larla borç alınan değerin yüzde 0,5'ini aştığı tek altı aylık dönem olduğunu ve flash loan kullanımının artmaya devam ettiğini tespit etti.
Yazarlar saldırıları DeFi için önemli, giderek daha sofistike ve öngörülemez ama "varoluşsal olmayan" tehditler olarak niteliyor.
Araştırma dönemi bittikten sonra merkeziyetsiz borsa Bunni, flash loan kullanan 8,4 milyon dolarlık bir istismarın ardından güvenli bir yeniden başlatmanın maliyetini karşılayamayacağını söyleyerek Ekim 2025'te kapatıldı.
Hall, "Bunun sadece akademik bir araştırma olarak görülmesini istemiyoruz" dedi. "Yaptığımız analiz, kripto para endüstrisi, düzenleyiciler ve hukuk ve kolluk kuvvetleri için pek çok uygulamaya sahip."
