Eine neu veröffentlichte Studie im Journal of Financial Crime zeigt, dass Flash-Loan-Angriffe zwischen Februar 2020 und Juli 2024 dezentrale Finanzplattformen um 1,211 Milliarden Dollar gebracht haben. Professor Tim Hall von der University of Winchester und Remo Stieger, ein ehemaliger Partner der Schweizer Risk-Intelligence-Firma SyntiFi, identifizierten 72 Flash-Loan-Angriffe unter 254 erfolgreichen Angriffen auf DeFi innerhalb dieses Zeitraums. Von diesen 254 Angriffen entfielen 18,44 % der Verluste auf Flash-Loan-Angriffe, wobei der Gesamtverlust 6,568 Milliarden Dollar betrug.
Das Flash-Loan-Prinzip
Flash-Loans ermöglichen es Nutzern, Vermögenswerte aus einem Liquiditätspool ohne Sicherheiten zu leihen, vorausgesetzt, der Kredit wird innerhalb derselben Blockchain-Transaktion zurückgezahlt. Angreifer nutzen sie, um auf die großen Summen zuzugreifen, die für die Ausführung einer Ausnutzung benötigt werden. Decrypts Studie ergab, dass einzelne Angriffe von 80.000 bis 197 Millionen Dollar reichten, und Angriffe, die 10 Millionen Dollar oder mehr stahlen, für über 88 % der Verluste verantwortlich waren.
Der Umfang des Schadens
Auf Ethereum fanden mehr als 80 % der Verluste durch Flash-Loan-Angriffe statt. Die Forscher fanden verschiedene Arten von Angriffen, darunter solche, die Preis-Feeds manipulieren, und andere, die Fehler in der Kernlogik eines Protokolls ausnutzen. Die logikbasierten Exploits traten seltener auf, verursachten aber größere durchschnittliche Verluste.
Wie die Angriffe kategorisiert wurden
Die Forscher ordneten 14 verschiedene Arten von Flash-Loan-Angriffen in zwei Hauptgruppen ein: eine, bei der Angreifer Preis-Feeds manipulieren, und eine andere, bei der sie Fehler in der Logik eines Protokolls ausnutzen. Zwischen Februar 2020 und Januar 2022 machten Logik-Exploits 28 % der Verluste durch Flash-Loan-Angriffe aus, während sie von Februar 2022 bis Juli 2024 55 % solcher Verluste ausmachten, so das Papier.
Die größten Verluste
Vier Angriffstypen waren für mehr als 81 % der Verluste verantwortlich: Preis-Oracle-Angriffe, Donate-Funktions-Logik-Exploits, Reentrancy-Angriffe und ein einzelner Governance-Angriff, der 181 Millionen Dollar kostete.
Das Plattform-Interview
Eine Plattform, die Anonymität forderte, wurde für die Studie interviewt, nachdem sie einen schweren Flash-Loan-Angriff erlitten hatte. Ihr Vertreter sagte, dass der Fehler „uns selbst und mehrere der Wirtschaftsprüfer“ passiert sei, bevor er entdeckt wurde und mehr als ein Jahr lang unbemerkt auf der Blockchain verblieb.
Der Angreifer begann anschließend, die Plattform in den sozialen Medien zu verspotten, sagte Hall, was dazu führte, dass „einige Opfer mit dem Angreifer interagierten und die verheerenden Auswirkungen des Verlusts dieses Geldes auf sie darlegten“.
Der Vertreter teilte Angreifer in „Hobby-Einzelpersonen und professionelle staatliche oder organisierte Kriminogruppen“ ein und nannte Nordkorea als Beispiel. Aus einer Perspektive der Blockchain-Sicherheit seien die Angriffe der Profis „überhaupt nicht fortgeschritten“, sagte der Vertreter.
Der Vertreter sprach über die Belastung der Teams, die Angriffe über sich bringen müssen, und merkte an, dass diese „meistens sie zersplittert und zerstört“, selbst wenn Gelder wiedererlangt werden.
Das Muster der Angriffsaktivität
Die Autoren beschreiben die Angriffsaktivität als durch Phasen des Wachstums gefolgt von der Konsolidierung, ein Muster, das ihrer Meinung nach darauf hindeutet, dass Plattformen ihre Sicherheit als Reaktion auf Angriffe verstärken, während Angreifer gleichzeitig weiterhin neue Schwachstellen aufdecken.
In einem einzigen sechsmonatigen Zeitraum überstiegen die Verluste 0,5 % dessen, was über Flash-Kredite ausgeliehen wurde, während die Nutzung von Flash-Krediten weiter wuchs, so das Papier.
DeFi sieht sich ernsthaften, zunehmend ausgeklügelten und unvorhersehbaren „aber nicht existentiellen“ Angriffen gegenüber, so die Autoren.
Was nach dem Studienzeitraum geschah
Nach Abschluss des Studienzeitraums schloss Bunni im Oktober 2025 seine Türen, wobei die Kosten für einen sicheren Neustart als Grund für die Stilllegung angegeben wurden. Die Börse wurde von einer $8,4-Millionen-Ausnutzung betroffen, die auf Flash-Kredite zurückgriff.
„Wir wollen, dass dies nicht nur als eine akademische Forschungsarbeit angesehen wird“, sagte Hall. „Die Analyse, die wir durchgeführt haben, hat eine Fülle von Anwendungen für die Kryptowährungsbranche, für Aufsichtsbehörden und für Strafverfolgungsbehörden.“
Die Bedeutung der Forschung
Die Studie dokumentiert 72 Flash-Loan-Angriffe, die 1,211 Milliarden Dollar bei 254 DeFi-Angriffen verursachten, wobei Logikfehler von 28 % auf 55 % der Verluste über den Zeitraum anstiegen.
„Wir sehen nun Verbrechen, die wir so noch nicht erlebt haben“, sagte Hall, einige davon „fähig, unglaubliche Summen zu stehlen, oft in die Zehnmillionen-Dollar-Bereich.“
Menschliche Kosten werden ebenfalls in der Studie dokumentiert. Einige Opfer vernetzten sich online mit ihren Angreifern, und die Teams der Plattformen wurden als zerrüttet und zerstört beschrieben, selbst wenn Gelder wiedererlangt wurden.
Der Zustand der DeFi-Sicherheit
Abseits der akademischen Welt hoffen die Autorinnen und Autoren der Studie, dass ihre Arbeit in den Händen von Regulierungsbehörden, Rechtsschutzbehörden und Strafverfolgungsbehörden landet. Sie glauben, dass diese Institutionen verstehen müssen, wie diese Angriffe funktionieren und wie sie sich entwickeln.
Diese Studie dient als Warnung und nicht als abschließendes Urteil. Die beschriebenen Angriffe sind erheblich, nehmen in ihrer Ausführung zu und sind schwer vorherzusagen – doch sie fallen noch unter eine Bedrohung, die alles beenden könnte.
Quellenmaterial: „Flash Loan Attacks Drained $1.2B From DeFi Between 2020 and 2024: Study,“ Decrypt.
Das Notizbuch abonnieren.
Die besten Geschichten des Tages und jedes neue Urteil, in klarem Deutsch, um sieben im Postfach. Eine Mail am Tag, nicht mehr.