简而言之
- 根据发表在《金融犯罪杂志》上的一项研究，2020年2月至2024年7月期间，闪电贷攻击在72起事件中造成了12.11亿美元的损失。
- 这占同期DeFi攻击总损失65.68亿美元的18.44%，其中超过80%的闪电贷损失发生在以太坊上。
- 利用协议逻辑缺陷的攻击虽然较少，但代价更高，并且随着平台修补被利用的漏洞、攻击者转向新的目标，这类攻击的重要性日益上升。
根据《金融犯罪杂志》最新发表的研究，2020年2月至2024年7月期间，闪电贷攻击从去中心化金融平台盗走了12.11亿美元。
该研究由温彻斯特大学教授蒂姆·霍尔和瑞士风险情报公司SyntiFi前合伙人雷莫·施蒂格共同完成，他们在这段时期DeFi遭受的254次成功攻击中识别出72起闪电贷攻击。这254次攻击共造成65.68亿美元损失，其中18.44%来自闪电贷攻击。
温彻斯特大学在一条推文中提到：“一种新型网络犯罪正在数字金融和加密货币领域盗走令人瞠目结舌的巨额资金，这项由蒂姆·霍尔教授参与的突破性研究揭示了这个现象。”
霍尔在一份声明中表示，“我们现在看到了以前从未见过的犯罪”，其中一些“能够窃取令人瞠目结舌的巨额资金，往往达数千万美元”。
闪电贷允许用户无需抵押即可从流动性池借入资产，前提是贷款必须在同一笔区块链交易中偿还。攻击者利用闪电贷获得执行攻击所需的大量资金。
研究发现，超过80%的闪电贷攻击损失发生在以太坊上。单次攻击的损失从8万美元到1.97亿美元不等，而那些盗走1000万美元以上的攻击占了总损失的88%以上。
研究人员识别出14种闪电贷攻击类型，可分为两大类：操纵价格来源的攻击，以及利用协议底层逻辑缺陷的攻击。逻辑漏洞利用虽然频率较低，但造成的平均损失更高。
论文显示，2020年2月至2022年1月期间，逻辑漏洞利用占闪电贷攻击损失的28%；2022年2月至2024年7月期间，这一比例升至55%。
四种攻击类型占了总损失的81%以上：价格预言机攻击、捐赠函数逻辑漏洞利用、重入攻击，以及一次造成1.81亿美元损失的治理攻击。
闪电贷攻击者
攻击活动经历了增长和整合的阶段，作者写道，这表明平台在遭受攻击后改善了安全性，而攻击者则不断寻找新的漏洞。
该研究采访了一个曾遭受重大闪电贷攻击的平台，该平台要求匿名。该平台代表表示，被利用的漏洞“骗过了我们自己以及几家审计机构”，并且在链上一年多都没有被发现。
霍尔说，攻击者事后开始在社交媒体上“嘲讽”该平台，这“导致一些受害者和攻击者互动，并向对方描述了这笔资金损失给他们带来的毁灭性影响”。
该代表将攻击者分为“业余的个人研究者”和专业的国家级或有组织犯罪集团，并提到了朝鲜。该代表说，从区块链安全角度来看，专业攻击者的攻击“一点都不高级”。
该代表还描述了遭受攻击的团队所承受的打击，称“这往往会导致团队分裂和瓦解”，即使资金被追回也是如此。
论文发现，只有在某一个六个月期间，损失超过了通过闪电贷借入价值的0.5%，而且闪电贷的使用量仍在持续增长。
作者将这些攻击定性为重大、日益复杂且不可预测的威胁，但对DeFi而言“并非生存威胁”。
研究期结束后，去中心化交易所Bunni于2025年10月在一场利用闪电贷造成840万美元损失的攻击后关闭，称其无法承担安全重启的成本。
“我们非常希望这不仅仅被视为一项学术研究，”霍尔说。“我们做的分析对加密货币行业、监管机构以及法律和执法部门都有大量应用价值。”