Was passiert
Forschern ist es gelungen, über 20 Milliarden Transaktionen auszuwerten und dabei ein detailliertes Bild der Flash-Loan-Attacken auf dezentralisierte Finanzsysteme zu zeichnen. Das zentrale Ergebnis: Zwischen 2020 und 2024 wurden durch diese Angriffe insgesamt 1,2 Milliarden Dollar aus DeFi-Protokollen gestohlen.
Flash Loans sind Transaktionen, bei denen ein Nutzer große Mengen an Kryptowährungen leihen und innerhalb desselben Blocks zurückgeben kann – ohne dabei Sicherheiten hinterlegen zu müssen. Das Konzept selbst ist legitim und wurde von Protocols wie Aave eingeführt, um Liquidität bereitzustellen. Allerdings zeigte sich schnell, dass diese Mechanik missbraucht werden kann.
Die Studie dokumentiert einen klaren Trend bei der Entwicklung dieser Attacken: Sie wurden nicht nur häufiger, sondern auch raffinierter. Während frühe Flash-Loan-Angriffe noch vergleichsweise einfach strukturiert waren und auf bekannten Mustern basierten, zeigen die analysierten Daten ab 2022 einen deutlichen Anstieg an Komplexität. Die Angreifer begannen, mehrere Protokolle kombiniert zu nutzen und ihre Exploits weniger vorhersehbar zu gestalten.
Besonders problematisch ist die Erkennbarkeit dieser Attacken: Viele Flash-Loan-Exploits hinterlassen keine unmittelbaren Spuren in klassischen Blockchain-Analysen, da sie innerhalb eines einzelnen Blocks abgewickelt werden. Das macht es für Sicherheitsteams erheblich schwerer, Angriffsmuster zu erkennen und präventiv zu handeln. Die Forscher stellten fest, dass die durchschnittliche Schadenshöhe pro Angriff stieg, während gleichzeitig die zeitlichen Abstände zwischen den Angriffen unregelmäßiger wurden – ein Zeichen dafür, dass Angreifer ihre Strategien kontinuierlich an neue Verteidigungsmechanismen anpassten.
Die Gesamtsumme von 1,2 Milliarden Dollar verteilt sich über Hunderte einzelner Vorfälle. Einige der größten Attacken zielten auf beliebte Lending-Protokolle wie Compound und bDollar ab. Die Studie macht deutlich, dass Flash Loans nicht das einzige Angriffsvector waren – oft wurden sie kombiniert mit anderen DeFi-Mechaniken wie Liquidationsspielen oder Oracle-Manipulationen.
Einordnung
Flash Loans entstanden aus einem legitimen Bedarf heraus: Liquiditätsprovider wollten kurzfristigen Kapitalzugang ermöglichen, ohne lange Genehmigungsprozesse zu durchlaufen. Das Konzept selbst ist technisch sauber umgesetzt – das Problem liegt in der Sicherheitsarchitektur der Protokolle, die Flash Loans konsumieren.
Die Kernproblematik besteht darin, dass viele DeFi-Protokolle ihre Sicherheitsmodelle auf der Annahme aufbauten, dass Angreifer nicht unbegrenzte Kapitalmengen innerhalb einer einzigen Transaktion mobilisieren können. Flash Loans brechen diese Annahme. Wenn ein Angreifer 100 Millionen Dollar ohne Sicherheiten leihen kann, kann er damit künstliche Preisbewegungen erzeugen, indem er massive Ordersemengen auf dezentralisierten Börsen platziert. Diese Price-Impact-Manipulationen wirken sich dann auf andere Protokolle aus, die auf Oracle-Daten angewiesen sind.
Der Markt hat auf diese Bedrohung reagiert. Viele Protokolle implementierten seitdem Schutzmaßnahmen: Flash-Loan-Detection-Logik, die erkennt, wenn ein User innerhalb eines Blocks massiv große Beträge bewegt; Isolation von Liquidationsmechaniken; Time-Delays bei kritischen Transaktionen. Allerdings zeigt die Studie, dass Angreifer parallel zu diesen Maßnahmen ihre Taktiken verfeinert haben.
Aufällig ist, dass die Attacken nach 2022 mehr Multichain-Charakter annahmen. Angreifer begannen, Flash Loans auf einer Chain zu nutzen, um Arbitrage-Möglichkeiten auf einer anderen auszunutzen – was zusätzliche Komplexitätsebenen in Verteidigungssysteme bringt. Bridges zwischen Chains wurden zur kritischen Infrastruktur für bestimmte Angriffsvektoren.
Was das bedeutet
Die Studie belegt, dass DeFi-Sicherheit nicht statisch ist, sondern einem Wettrüsten unterliegt. Die 1,2 Milliarden Dollar Schaden sind nicht primär ein Zeichen von technischen Designfehlern in Flash-Loan-Protokollen selbst, sondern von mangelnder Sicherheitsarchitektur in den Protokollen, die diese Loans nutzen.
Entscheidend ist folgende Erkenntnis: Mit zunehmender Raffinesse der Angriffe wird es klarer, dass Sicherheit im DeFi nicht durch einzelne isolierte Maßnahmen gelöst werden kann. Protokolle, die ihre Liquiditäts- oder Preisannahmen nicht kontinuierlich validieren – also etwa durch mehrere unabhängige Oracle-Quellen oder durch Isolation kritischer Funktionen – werden anfällig bleiben. Die Studie zeigt, dass Angreifer gezielt nach solchen Lücken suchen und diese exploiten, sobald sie wirtschaftlich sinnvoll werden.
Das bedeutet für Entwickler: Flash Loans zu blockieren ist keine Lösung. Stattdessen müssen Protokolle ihre Geschäftslogik "Flash-Loan-resistant" designen – also so bauen, dass kurzfristige Kapitalzuschüsse keine kritischen Annahmen brechen können. Das erfordert kontinuierliche Sicherheitsaudits und ein tiefes Verständnis der Abhängigkeiten zwischen verschiedenen DeFi-Komponenten.
