72 Flash Loan Saldırısı DeFi’de 1,211 Milyar Dolarlık Zarara Yol Açtı

2020 Şubat ile 2024 Temmuz arasında DeFi’de (merkeziyetsiz finans) gerçekleşen 72 flash loan saldırısı, 1,211 milyar dolarlık zarara yol açtı. Araştırmacılar saldırı türlerini fiyat beslemesi manipülasyonu ile protokol tasarımı ve uygulamasındaki kusurların istismarı olarak iki grupta sınıflandırdı.

Winchester Üniversitesi profesörü Tim Hall ve Remo Stieger’in yayımladığı “Flash in the Pan?: Analyzing Flash Loan Attacks on the DeFi Ecosystem” başlıklı çalışma, aynı dönemde DeFi’de başarıya ulaşan 254 saldırının toplam zararını 6,568 milyar dolar olarak hesapladı. Flash loan saldırıları bu vakaların 72’sini oluşturdu ve toplam zararın yüzde 18,44’üne karşılık geldi. Makale, Winchester Üniversitesi’nin araştırma arşivinde yayımlandı.

İnceleme Ethereum (ETH), Base, Optimism (OP), Arbitrum (ARB), BNB Chain, Avalanche (AVAX) ve Polygon olmak üzere yedi blokzinciri kapsadı. Araştırmacılar 20,63 milyar zincir üstü işlemi inceledi; saldırılarla ilgili kamuya açık tartışmaları ve zarar gören platformların temsilcileriyle yapılan görüşmeleri de analiz etti.

Flash loan, teminat göstermeden varlık ödünç alıp aynı blokzincir işlemi içinde geri ödemeye dayalı bir kredi türü. İşlem tamamlandığında geri ödeme koşulu karşılanmazsa işlemin tamamı geçersiz sayılıyor. Bu özellik arbitraj için de kullanılıyor; saldırganlar ise ödünç aldıkları fonlarla fiyat verilerini çarpıtabiliyor veya protokol açıklarından yararlanabiliyor.

Araştırmacılar saldırıları, fiyat beslemesi manipülasyonu ve protokol mantığındaki kusurların istismarı olarak sınıflandırdı. Fiyat beslemesi, protokollerin varlık fiyatlarını belirlerken başvurduğu verileri ifade ediyor. Bu veriler manipüle edildiğinde teminat değeri veya işlem koşulları yanlış hesaplanabiliyor. Diğer saldırı türünde ise platformun tasarım ya da uygulama sürecindeki kusurlar doğrudan kullanılıyor.

Makalenin özeti, saldırı faaliyetlerinin dönemlere göre belirgin örüntüler gösterdiğini belirtiyor. Ancak özette saldırı türlerinin zarardaki payı veya dönemlere göre ayrıntılı veriler yer almıyor. Çalışmanın kapsamı Temmuz 2024’te sona erdiği için sonraki saldırı eğilimleri ya da mevcut güvenlik düzeyi yalnızca bu araştırmaya dayanarak değerlendirilemiyor.

İnceleme döneminin ardından da flash loan kullanılan saldırılar yaşandı. Merkeziyetsiz borsa Bunni, 2025 Eylül’de 8,4 milyon dolarlık bir saldırıya uğradı ve aynı yıl Ekim’de faaliyetlerini kalıcı olarak sonlandıracağını açıkladı. Bu olay, makalenin veri setine dahil edilmedi.