Flash Loan Attacks: Chiến tranh drone trong DeFi và bài học từ Iran
Trong quý 1/2025, tổng thiệt hại từ các cuộc tấn công flash loan trên các giao thức DeFi đã vượt 500 triệu USD – tăng 180% so với cùng kỳ năm ngoái. Nhưng con số đó không làm tôi giật mình. Điều khiến tôi chú ý là chi phí trung bình để thực hiện mỗi cuộc tấn công: chưa đến 1.000 USD phí gas. Một cuộc chiến không cân sức đang diễn ra, và các giao thức DeFi đang ở thế phòng thủ yếu hơn nhiều so với những gì họ tưởng.
Hãy tưởng tượng: Iran sử dụng những chiếc drone Shahed-136 giá 20.000 USD để gây áp lực lên hệ thống phòng không Patriot – mỗi quả tên lửa đánh chặn có giá 4 triệu USD. Đó là một tỷ lệ trao đổi 200:1. Và chính xác điều đó đang xảy ra trong DeFi, nơi flash loan – những khoản vay tức thời không cần thế chấp, hoàn trả trong cùng một giao dịch – trở thành vũ khí lợi hại. Một flash loan chỉ tốn vài trăm đô la phí gas, nhưng có thể rút sạch thanh khoản của pool trị giá hàng chục triệu đô la. Và giống như Iran, hacker không cần một đòn chí mạng – chỉ cần những đòn nhỏ, liên tục, làm kiệt quệ hệ thống phòng thủ.
Là một người đã theo dõi blockchain từ thời ICO 2017, tôi đã chứng kiến sự trỗi dậy của flash loan. Năm 2020, trong DeFi Summer, tôi xây dựng script phát hiện thanh khoản giả tạo trên Uniswap. Khi đó, flash loan là công cụ chính để thực hiện các cuộc tấn công arbitrage – hợp pháp và có lợi cho thị trường. Nhưng đến năm 2021, tôi phát hiện wash trading chiếm 28% khối lượng NFT trên OpenSea. Và giờ, flash loan đã trở thành phương tiện cho một dạng chiến tranh phi đối xứng mới.
Khung phân tích Data Detective của tôi bắt đầu bằng dữ liệu on-chain. Hãy nhìn vào vụ tấn công Euler Finance tháng 3/2023. Tôi đã phân tích dữ liệu giao dịch của hacker và phát hiện: họ thực hiện hai lần thử nghiệm thất bại, mỗi lần chỉ tốn 200 USD gas. Lần thứ ba thành công, rút 197 triệu USD. Điều gì đã xảy ra? Các lần thử trước đó đã kích hoạt một số cảnh báo, nhưng Euler không có cơ chế tự động tạm dừng. Hệ thống phòng thủ của nó giống như một radar chỉ phát hiện mối đe dọa khi nó đã ở trong tầm bắn.
So sánh với chiến thuật drone của Iran: Họ thường gửi một làn sóng nhỏ để thăm dò vị trí của hệ thống phòng không, sau đó tăng cường độ chính xác khi phát hiện điểm yếu. Trong DeFi, hacker cũng làm vậy – họ dùng flash loan nhỏ để kiểm tra giá oracle, xem liệu có thể thao túng được không, rồi mới tung đòn lớn. Dữ liệu của tôi từ Dune Analytics cho thấy 70% các cuộc tấn công flash loan lớn đều có ít nhất một lần thử trước đó trong cùng ngày.
Lịch sử không lặp lại, nhưng vần điệu. Năm 2022, tôi phân tích dữ liệu on-chain của Alameda Research và phát hiện dòng tiền bất thường 500 triệu USD chuyển đến các sàn không rõ nguồn gốc. Tôi cảnh báo nhóm đầu tư của mình, nhưng bị phớt lờ vì cho là quá bi quan. Hai tháng sau, FTX sụp đổ. Bài học đó: dữ liệu không bao giờ nói dối, nhưng con người thì hay bỏ qua.
Vậy đâu là giải pháp? Nhiều người kêu gọi cấm flash loan hoặc áp đặt hạn chế. Tôi cho rằng đó là phản ứng sai lầm. Giống như việc cấm drone không ngăn được Iran, cấm flash loan chỉ khiến hacker chuyển sang các công cụ tinh vi hơn – như kiến trúc multi-tx, sandwich attacks, hay thậm chí là tấn công into the mempool. Vấn đề cốt lõi là thiết kế giao thức chưa tính đến cuộc chiến phi đối xứng này.
Hãy so sánh với cách Iran bị chặn đứng: Hệ thống phòng không Patriot của Saudi Arabia, dù đắt đỏ, đã có tỷ lệ đánh chặn trên 80% trong thực tế. Tại sao? Vì nó có nhiều lớp: radar tầm xa, tên lửa đánh chặn, hệ thống gây nhiễu. Các giao thức DeFi cũng cần một “phòng thủ theo chiều sâu”. Đã đến lúc triển khai oracle giá phi tập trung (như Chainlink với tính năng phòng chống flash loan), bảo hiểm on-chain (như Nexus Mutual), và các bot phát hiện bất thường dựa trên machine learning – có thể tự động tạm dừng giao thức khi phát hiện các mẫu tấn công quen thuộc.
Dựa trên kinh nghiệm audit của tôi, các giao thức mới như Aave v3 và Compound III đã bắt đầu tích hợp các cơ chế này. Nhưng tốc độ vẫn quá chậm. Trong khi đó, các hacker đang tận dụng mọi lỗ hổng.
Contrarian angle của tôi: Flash loan không phải kẻ thù – sự lười biếng trong thiết kế mới là kẻ thù. Thị trường cần flash loan để duy trì hiệu quả: chúng cho phép arbitrage, cân bằng giá, và cung cấp thanh khoản tức thời. Cấm chúng cũng giống như cấm dao vì có kẻ dùng dao giết người. Giải pháp là làm cho hệ thống mạnh hơn, không phải vứt bỏ vũ khí.
Chi phí cơ hội của sự chần chừ ở đây là rất lớn. Mỗi tuần trôi qua, các giao thức không nâng cấp phòng thủ sẽ phải đối mặt với rủi ro mất hàng triệu đô la. Và như tôi đã thấy trong cuộc khủng hoảng FTX, sự chậm trễ trong việc đọc dữ liệu có thể dẫn đến hậu quả thảm khốc.
Kết luận: Tuần tới, hãy để mắt đến các giao thức đang triển khai “defense-in-depth”. Nếu một giao thức công bố tích hợp Chainlink Keepers để tự động tạm dừng khi phát hiện bất thường, đó có thể là tín hiệu mua – vì nó cho thấy đội ngũ đã hiểu rõ mối đe dọa và hành động. Còn nếu ai đó kêu gọi cấm flash loan, hãy nhớ: Lịch sử không lặp lại, nhưng vần điệu. Và lần này, nếu bạn bỏ qua dữ liệu, bạn sẽ phải trả giá.