Flash loan
En bref Un flash loan est un prêt DeFi sans collatéral qui doit être emprunté et remboursé dans une seule transaction, sinon toute la transaction est annulée.
Un flash loan est un prêt issu d'un pool de lending DeFi qui ne demande aucun collatéral, à une condition : le montant emprunté plus de petits frais doivent être remboursés avant la fin de la transaction. Sinon, toute la transaction est annulée comme si elle n'avait jamais eu lieu. Le prêteur ne prend aucun risque de crédit, puisque le prêt n'existe qu'à l'intérieur de cette unique transaction atomique.
Concrètement, un smart contract demande des fonds au pool, les reçoit, exécute la logique qu'il veut, puis renvoie le principal et les frais, le tout dans un seul bloc. Le pool vérifie son solde à la fin et annule tout s'il manque de l'argent. L'emprunteur paie les frais et le gas quand ça marche, et paie quand même le gas en cas d'échec.
Les usages légitimes sont surtout techniques. Les traders utilisent les flash loans pour l'arbitrage entre plateformes, pour changer le collatéral d'un prêt sans le clôturer, ou pour rembourser une dette afin d'éviter une liquidation. L'intérêt : un petit trader peut agir temporairement avec des millions de capital.
Pour les acheteurs et détenteurs de tokens, l'enjeu est du côté des attaques. Un attaquant emprunte un montant énorme, s'en sert pour faire bouger un prix dans un pool à faible liquidité, exploite ensuite n'importe quel protocole qui se fie à ce prix, puis rembourse le prêt dans la même transaction. Le flash loan ne crée pas le bug ; il fournit le capital pour l'exploiter. Les premiers protocoles de lending DeFi ont été touchés de cette façon en 2020, et les petits tokens à liquidité faible sont les plus faciles à manipuler. La même astuce peut servir à emprunter des tokens de gouvernance et à faire passer un vote dans un seul bloc.
Points à vérifier : si les contrats d'un projet tirent leurs prix du prix spot d'un seul pool ou d'un oracle résistant à la manipulation, comme une moyenne pondérée dans le temps. Cherchez un audit couvrant la manipulation de prix et la gouvernance, et vérifiez que le pouvoir de vote repose sur des snapshots passés plutôt que sur les soldes actuels. Sur un explorateur de blocs, une transaction unique qui fait bondir un prix puis le ramène est l'empreinte typique. Rien de tout cela ne rend un projet sûr, mais un projet qui s'appuie sur un prix spot brut dans un pool peu profond porte un risque connu.