Flash loan

Flash loan là khoản vay từ pool lending DeFi không cần tài sản thế chấp, với một điều kiện: số tiền vay cùng một khoản phí nhỏ phải được hoàn trả trước khi giao dịch kết thúc. Nếu không, toàn bộ giao dịch sẽ bị hoàn tác như chưa từng xảy ra. Bên cho vay không chịu rủi ro tín dụng, vì khoản vay chỉ tồn tại trong một giao dịch nguyên tử duy nhất.

Về cơ chế, một smart contract yêu cầu pool cấp vốn, nhận tiền, thực hiện logic tùy ý rồi trả lại gốc và phí, tất cả trong cùng một block. Pool kiểm tra số dư ở cuối giao dịch và hủy toàn bộ nếu thiếu tiền. Người vay trả phí vay và gas khi giao dịch thành công, và vẫn mất phí gas nếu giao dịch thất bại.

Các ứng dụng hợp lệ chủ yếu mang tính kỹ thuật. Trader dùng flash loan để kinh doanh chênh lệch giá giữa các sàn, hoán đổi tài sản thế chấp cho khoản vay mà không cần đóng khoản vay, hoặc trả nợ để tránh thanh lý. Điểm hấp dẫn là một trader nhỏ có thể tạm thời sử dụng nguồn vốn hàng triệu USD.

Với người mua và nắm giữ token, điều đáng quan tâm là cách flash loan được dùng để tấn công. Kẻ tấn công vay một khoản khổng lồ, dùng nó để đẩy giá trong pool thanh khoản mỏng, rồi khai thác giao thức tin vào mức giá đó và hoàn trả khoản vay ngay trong cùng giao dịch. Flash loan không tạo ra lỗ hổng; nó cung cấp vốn để khai thác lỗ hổng có sẵn. Các giao thức lending DeFi thời kỳ đầu đã bị tấn công theo cách này vào năm 2020, và token nhỏ có thanh khoản mỏng là loại dễ bị tác động giá nhất. Thủ thuật tương tự có thể được dùng để vay token quản trị và thông qua một cuộc biểu quyết trong cùng một block.

Những điểm nên kiểm tra gồm: hợp đồng của dự án lấy giá giao ngay từ một pool duy nhất hay dùng oracle có khả năng chống thao túng, chẳng hạn giá trung bình theo thời gian. Tìm bản audit có đánh giá rủi ro thao túng giá và quản trị, đồng thời kiểm tra quyền biểu quyết có dựa trên snapshot trong quá khứ thay vì số dư hiện tại hay không. Trên trình khám phá block, một giao dịch làm giá biến động cực mạnh rồi đảo ngược là dấu vết điển hình. Những điều này không bảo đảm dự án an toàn, nhưng dự án dựa trực tiếp vào giá giao ngay trong pool thanh khoản mỏng đang mang một rủi ro đã được biết rõ.