研究摘要

闪贷攻击导致损失：2020年2月至2024年7月期间，闪贷攻击在72起事件中造成了12.11亿美元的损失。这些攻击占同期254起去中心化金融（DeFi） exploits总损失65.68亿美元的18.44%。

平台分布：超过80%的闪贷损失发生在以太坊网络上。

攻击类型：包括一起造成1.81亿美元损失的治理漏洞利用在内的四种攻击类型，导致了超过81%的总损失。

趋势变化：随着攻击者策略的转变，逻辑漏洞利用占闪贷损失的比例从28%上升至55%。

研究方法

这项研究由温彻斯特大学的Tim Hall教授和瑞士风险情报公司SyntiFi的前合伙人Remo Stieger共同完成。研究团队扫描了七个网络上的206.3亿笔区块链交易，包括以太坊、Base、Optimism、Arbitrum、BNB Chain、Avalanche和Polygon。这是首次将刑事研究方法与此类链上数据相结合的研究。由于完整论文设有付费墙，部分细节基于大学发布的摘要。

闪贷允许用户在不提供抵押品的情况下借款，但必须在同一笔区块链交易中偿还，否则整个交易将被撤销。虽然这种机制常用于套利交易，但攻击者也可利用其在极短时间内以几乎零成本借入巨额资金进行攻击。

损失来源与攻击分析

研究人员将攻击分为14种类型，主要分为价格预言机操纵和协议逻辑缺陷两类。其中，价格预言机攻击、捐赠功能利用、重入攻击以及一起单独造成1.81亿美元损失的治理攻击，这四种类型导致了超过81%的总损失。

逻辑漏洞利用虽然发生频率较低，但单次攻击造成的损失更大。其占闪贷损失的比例在2020年至2022年初为28%，而在2022年至2024年中旬则上升至55%。单次攻击的损失范围从8万美元到1.97亿美元不等，其中单笔损失超过1000万美元的攻击占总损失的88%以上。

研究记录了一个被闪贷攻击的平台案例：该平台的漏洞曾通过内部检查及多家外部审计机构的审核，但在链上未被发现长达一年多。据研究者称，攻击者随后在网上嘲讽该平台，导致部分受害者直接联系攻击者反映损失带来的影响。

该平台代表将攻击者分为两类：业余研究人员和专业化的国家关联或有组织犯罪集团（例如朝鲜）。代表指出，从技术角度看，专业攻击“并不先进”。然而，这些攻击往往导致受影响平台的团队解散，即使被盗资金后来被追回也是如此。

结论与展望

在整个研究期间，仅在其中一个六个月内，闪贷损失超过了总闪贷借贷量的0.5%。与此同时，闪贷的使用量持续上升。作者指出，攻击日益复杂且难以预测，但这并未对DeFi的生存构成威胁。研究强调，闪贷本身是合法的工具，攻击主要利用了平台周围的弱点。

尽管研究截止于2024年7月，但相关损害仍在继续。例如，去中心化交易所Bunni因涉及闪贷操纵及其定价系统中的舍入错误造成的840万美元漏洞，于2025年10月关闭。