闪电贷利用：DeFi攻击如何在数秒内掠夺百万美元

常见手法

• •通过操纵去中心化交易所上的代币价格来利用价格预言机漏洞，然后使用闪电贷放大效应。攻击者借入数百万美元来移动市场，在依赖被操纵价格数据的借贷协议中触发清算。
• •执行重入攻击，使用借来的闪电贷资金在脆弱的智能合约函数更新其内部状态之前重复调用它。这允许攻击者在单笔交易内多次掏空资金。
• •进行套利攻击，利用协议间的价格差异。攻击者使用闪电贷在一个协议上购买低价资产，在另一个协议上以更高价格出售，将价差作为利润收获。
• •针对借贷协议中的抵押品操纵，通过使用闪电贷临时增加或减少抵押品价值，触发级联清算，使合法借款人以不利价格被强制清算。
• •通过使用闪电贷资本以掏空所有可用流动性的方式交换代币来掏空流动性池，在返还本金前获取交易费和滑点。
• •跨不同协议链接多个闪电贷以执行复杂的多步骤攻击。攻击者同时从Aave、dYdX和其他借贷方借入资金，协调执行单协议借贷中不可能的攻击。

如何识别

• 特定DeFi代币或协议在数分钟内出现突然且无法解释的崩溃或戏剧性价格波动，通常之后会恢复。闪电贷利用通常会产生与正常市场波动不同的急剧短期价格变动。
• 财务损失后立即宣布的智能合约紧急暂停或升级。如果协议在丧失资金后突然禁用存款、提款或交易，则很可能遭受了闪电贷攻击。
• 您的抵押品在借贷协议中被意外清算，即使市场价格并未显著波动。闪电贷攻击通常会具体操纵价格预言机来触发对合法头寸的不公平清算。
• 协议流动性池在单个区块或交易内出现大规模提款，随后系统不稳定。这种模式表明攻击者使用借入的资本掏空了池。
• 交易分析显示多个闪电贷在同一区块内被调用，随后在多个协议间出现异常代币转移和价格操纵。这种链接模式是协调攻击的特征。
• 在协议中断后，您的流动性挖矿奖励或存入资金神秘地减少，钱包历史中看不到对应的交易。攻击者可能以绕过标准交易跟踪的方式窃取了资金。

如何保护自己

• 验证您使用的任何DeFi协议都具有多个独立的价格预言机源（Chainlink、Uniswap TWAP、多个交易所），而不是仅依赖单一价格源。仅使用链上交易所价格的协议容易受到操纵。
• 在存入资金前检查协议的审计报告和安全历史，特别关注闪电贷漏洞或预言机操纵问题的提及。仅使用由OpenZeppelin、Trail of Bits或ConsenSys Diligence等信誉良好的公司审计的协议。
• 限制您对任何单个DeFi协议的敞口仅限于您能够承受完全损失的金额。跨具有不同安全模型的多个协议分散资产，而不是将资产集中在单个平台。
• 避免具有最近安全事件、紧急暂停或关于漏洞的治理争议的协议，即使他们声称已修复问题。DeFi安全所需的信任在重大事件后很难重建。
• 在高波动期间实时监控您的头寸，并为突然的清算风险或异常价格变动设置警报。如果您的协议显示出攻击或不稳定的迹象，准备好快速提取资金。
• 教育自己了解您的具体协议的价格预言机如何工作、它对外部数据源的依赖以及是否具有正式验证或安全性数学证明。理解这些细节可帮助您识别闪电贷抗性强的协议。

真实案例

常见问题

本地举报渠道 — 中国大陆

您所在地区针对此类诈骗的官方举报渠道。

权威资源

与此类诈骗相关的权威政府机构与官方反诈组织（含指引）。