Los flash loans (préstamos flash, en español) se han convertido en un vector de ataque principal para los actores maliciosos que buscan explotar los protocolos DeFi, y están en aumento.
Un flash loan es un préstamo cripto que se toma y se paga dentro de la misma transacción. En circunstancias normales, la práctica puede llevar a cabo intercambios rápidos de colaterales.
También se puede utilizar para realizar operaciones de arbitraje y ahorrar en tarifas de transacción. La plataforma de préstamos DeFi Aave fue pionera y publicitó este concepto en 2020.
Sin embargo, los actores maliciosos han utilizado cada vez más este método para atacar lagunas en algunos protocolos DeFi.
En las finanzas tradicionales, obtener un préstamo requiere una ardua cantidad de papeleo y prueba de identidad e ingresos. Pero cualquiera puede hacerlo en DeFi. Estos préstamos a menudo no están garantizados. Esto significa que el prestatario no tiene que arriesgar ninguno de sus propios activos.
Los flash loans utilizan contratos inteligentes. Evitan que los fondos se muevan a menos que se cumplan ciertos criterios. Además, si el prestatario no paga el préstamo antes de que finalice la transacción, el contrato inteligente lo revierte.
QuickSwap la última víctima
Los préstamos flash han tenido una mala reputación en los últimos años, ya que se han utilizado para atacar una serie de protocolos DeFi.
El exchange descentralizado (DEX) basado en Polygon, QuickSwap, se convirtió en la última víctima de este vector de ataque. La plataforma perdió 220,000 dólares en un exploit ocurrido el 24 de octubre. El DEX culpó a una vulnerabilidad en un oráculo de Curve que estaba usando Market XYZ.
Además, QiDao Protocol proporcionó fondos iniciales para el mercado. Según los informes, no se comprometieron los fondos de los usuarios de QuickSwap.
QuickSwap Lend is closing$220k was exploited in a flash loans attack due to a vulnerability with the Curve Oracle (NYSE:ORCL), which @marketxyz was using Only the Market XYZ lending market was compromised. QuickSwap's contracts are unaffected1/3 pic.twitter.com/oWNz7BAujT— QuickSwap (@QuickswapDEX) October 24, 2022
Por otra parte, 2021 fue un gran año para los ataques de préstamos flash. Los hackers robaron cientos de millones de dólares de varios protocolos. Estos incluyeron Cream Finance, Impossible Finance, Bogged Finance, PancakeBunny, bEarn, Spartan y Yearn Finance.
Los mayores hacks de flash loans en 2022
La base de datos Rekt de DeFiYield enumera un total de 56 exploits de flash loans, con varios hacks de más de un millón de dólares en 2022. Estos incluyeron Nirvana Finance, New Free DAO, Inverse Finance, DEUS Finance, Elephant Money y OneRing.
En el exploit de préstamo flash más grande en lo que va del año, Beanstalk perdió 181 millones de dólares en abril.
Octubre (denominado en broma ‘Hacktober’) ha sido el mes con más exploits y hacks en la historia de las criptomonedas, según Chainalysis.
También se ha robado dinero de las plataformas DeFi por medio de fallas de diseño económico. El más reciente fue el robo de 116 millones de dólares de Mango Markets a principios de este mes que ocurrió cuando un atacante manipuló el precio del token usando futuros perpetuos.
El post Cómo los flash loans se han convertido en la ruina del ecosistema cripto fue visto por primera vez en BeInCrypto.