【导语】一项最新研究显示，2020年2月至2024年7月，针对去中心化金融（DeFi）平台的闪电贷攻击共造成12.11亿美元损失，占同期DeFi平台65.68亿美元总损失的18.44%。研究认为，随着逻辑漏洞攻击激增，这类威胁正变得日益复杂和难以预测，但尚不构成生存性威胁。
该研究发表于《金融犯罪杂志》（Journal of Financial Crime），作者为温彻斯特大学教授蒂姆·霍尔（Tim Hall）和瑞士风险情报公司SyntiFi前合伙人雷莫·斯蒂格（Remo Stieger）。他们考察了同期254起成功的DeFi攻击，并识别出72起闪电贷攻击。
闪电贷允许用户无需抵押品从流动性池借入资产，前提是贷款必须在同一区块链交易中偿还。攻击者借此获取执行漏洞利用所需的大额资金。研究显示，超过80%的闪电贷攻击损失发生在以太坊；单次攻击损失从8万美元到1.97亿美元不等，损失达1000万美元及以上的攻击占闪电贷攻击总损失的88%以上。
研究人员将闪电贷攻击分为14种类型，归入两大阵营：操纵价格源，以及利用协议底层逻辑缺陷。逻辑漏洞攻击发生频率较低，但平均损失更高。其占闪电贷攻击损失的比例从2020年2月至2022年1月的28%，上升至2022年2月至2024年7月的55%。
四类攻击造成超过81%的损失，包括价格预言机攻击、donate函数逻辑漏洞、重入攻击，以及一次耗资1.81亿美元的治理攻击。攻击活动呈现增长与整合阶段，作者认为这表明平台在遭攻击后提升了安全性，而攻击者则寻找新漏洞。
研究还引用了一家匿名平台的访谈。该平台曾遭遇重大闪电贷攻击。其代表称，被利用的漏洞曾通过“我们自己以及多名审计人员”的审查，并在链上一年多未被发现。霍尔表示，攻击者随后在社交媒体上“嘲讽”该平台，导致一些受害者与攻击者互动，说明资金损失造成的毁灭性影响。
该代表将攻击者分为“业余个人研究者”和专业的国家级或有组织犯罪团体，并提到朝鲜。其表示，从区块链安全角度看，专业攻击者的攻击“一点也不先进”。该代表还描述了攻击对团队的影响：“大多数情况下，这最终会分裂并摧毁它们”，即使资金被追回也是如此。
论文发现，仅在一个六个月期间，闪电贷攻击损失超过闪电贷借出价值的0.5%，而闪电贷使用量持续增长。作者将这类攻击描述为重大、日益复杂且不可预测，“但并非生存性”的DeFi威胁。自研究期结束后，去中心化交易所Bunni于2025年10月因一笔840万美元的闪电贷漏洞利用而关闭，并表示无法承担安全重启的成本。
霍尔表示：“我们希望这不仅仅被视为一项学术研究。我们所做的分析对加密货币行业、监管机构以及法律和执法机构都有大量应用价值。”