Flash loan
In breve Un flash loan è un prestito DeFi senza collaterale da ottenere e rimborsare nella stessa transazione; altrimenti l'intera transazione viene annullata.
Un flash loan è un prestito da un pool di lending DeFi che non richiede collaterale, a una condizione: l'importo preso in prestito, più una piccola commissione, deve essere rimborsato prima che la transazione termini. In caso contrario, l'intera transazione viene annullata come se non fosse mai avvenuta. Il prestatore non assume alcun rischio di credito, perché il prestito esiste soltanto all'interno di quell'unica transazione atomica.
In pratica, uno smart contract richiede fondi al pool, li riceve, esegue la logica desiderata e restituisce capitale e commissione, tutto in un unico blocco. Il pool controlla il proprio saldo alla fine e annulla tutto se mancano fondi. Chi prende in prestito paga la commissione e il gas se l'operazione riesce, e paga comunque il gas se fallisce.
Gli utilizzi legittimi sono soprattutto tecnici. I trader usano i flash loan per fare arbitraggio tra exchange, sostituire il collaterale di un prestito senza chiuderlo o rimborsare un debito per evitare la liquidazione. Il vantaggio è che anche un piccolo trader può operare temporaneamente con milioni di capitale.
Per chi acquista e detiene token, la rilevanza riguarda soprattutto gli attacchi. Un attaccante prende in prestito una somma enorme, la usa per alterare il prezzo in un pool con poca liquidità, poi sfrutta un protocollo che si affida a quel prezzo e rimborsa il prestito nella stessa transazione. Un flash loan non crea la vulnerabilità: fornisce il capitale per sfruttarla. Nel 2020 alcuni dei primi protocolli di lending DeFi sono stati colpiti in questo modo, e i token a bassa capitalizzazione con poca liquidità sono i più facili da manipolare. La stessa tecnica può essere usata per prendere in prestito token di governance e far approvare una proposta in un solo blocco.
Vale la pena verificare se i contratti di un progetto ricavano i prezzi dal prezzo spot di un singolo pool oppure da un oracolo resistente alle manipolazioni, per esempio basato su una media ponderata nel tempo. Cerca un audit che copra la manipolazione dei prezzi e la governance, e controlla che il potere di voto si basi su snapshot passati anziché sui saldi correnti. Su un block explorer, una singola transazione che sposta enormemente un prezzo per poi riportarlo indietro è una traccia tipica. Nulla di tutto questo rende un progetto sicuro, ma affidarsi direttamente al prezzo spot di un pool con poca liquidità significa esporsi a un rischio noto.