Flash loan là gì?
Flash loan, hay còn gọi là khoản vay chớp nhoáng, là một dạng khoản vay không cần tài sản thế chấp trong tài chính phi tập trung, cho phép bạn vay một số tiền khổng lồ và phải trả lại trong cùng một giao dịch blockchain. Nếu không trả được nợ đúng hạn, toàn bộ giao dịch sẽ bị hoàn tác như thể chưa từng xảy ra, vì vậy bên cho vay không bao giờ gặp rủi ro mất vốn.
Flash loan là một trong những phát minh độc đáo nhất của DeFi, mở ra vô số cơ hội kinh doanh chênh lệch giá đồng thời cũng trở thành vũ khí lợi hại cho những kẻ tấn công, gây ra hàng loạt vụ hack trị giá hàng trăm triệu USD trong những năm qua.
Cơ chế hoạt động của flash loan
Flash loan hoạt động dựa trên tính nguyên tử của giao dịch blockchain: hoặc tất cả các bước diễn ra thành công, hoặc không có gì xảy ra. Một khoản vay chớp nhoáng gồm ba bước diễn ra trong một giao dịch duy nhất: đầu tiên, bạn vay tiền từ giao thức cho vay; tiếp theo, bạn sử dụng số tiền đó cho mục đích của mình như mua bán hoặc hoán đổi tài sản; cuối cùng, bạn trả lại tiền gốc kèm phí. Nếu bước trả nợ thất bại, toàn bộ giao dịch bị revert và bên cho vay không mất gì.
Ý tưởng này được Marble Protocol giới thiệu từ năm 2018, sau đó được dYdX tiên phong ứng dụng và phổ biến rộng rãi nhờ Aave cùng Uniswap V2 từ năm 2020. Hiện tại Aave là giao thức flash loan được sử dụng nhiều nhất, với mức phí chỉ khoảng 0,09% cho mỗi khoản vay.
Flash loan dùng để làm gì?
Không cần thế chấp và không cần kiểm tra tín dụng, flash loan mở ra những trường hợp sử dụng mà tài chính truyền thống không thể thực hiện:
- Kinh doanh chênh lệch giá: vay tiền để mua rẻ trên một sàn giao dịch phi tập trung và bán đắt trên sàn khác, trả nợ và giữ phần lợi nhuận trong một giao dịch duy nhất.
- Hoán đổi tài sản thế chấp: thay thế tài sản đảm bảo trong giao thức cho vay mà không cần trả nợ trước, giúp chuyển đổi vị thế linh hoạt hơn.
- Tự thanh lý vị thế: người vay tự đóng vị thế sắp bị thanh lý trước khi bị thanh lý bên ngoài, tránh bị phạt nặng.
Một điểm quan trọng cần lưu ý: flash loan chỉ hoạt động trong phạm vi blockchain, không thể dùng để mua sắm ngoài đời thực hay chuyển tiền vào tài khoản ngân hàng.
Những vụ tấn công flash loan nổi tiếng
Mặt trái của flash loan là kẻ tấn công có thể vay một lượng vốn khổng lồ để thao túng giá trên các bể thanh khoản mỏng, đánh lừa giao thức đọc sai giá và rút sạch tài sản. Lịch sử DeFi ghi nhận nhiều vụ tấn công chấn động:
- Vụ bZx tháng 2 năm 2020: loạt tấn công đầu tiên gây thiệt hại khoảng một triệu USD, sử dụng kết hợp dYdX, Compound và Uniswap.
- Vụ PancakeBunny tháng 5 năm 2021: kẻ tấn công thao túng giá cặp USDT/BNB và BUNNY/BNB, đúc token LP giả và rút khoảng 45 triệu USD trên BNB Chain.
- Vụ Beanstalk tháng 4 năm 2022: tấn công vào cơ chế quản trị, vay 350 triệu DAI để mua token bỏ phiếu, tự đề xuất và thông qua một gói cập nhật độc hại rồi rút khoảng 182 triệu USD.
- Vụ Euler Finance tháng 3 năm 2023: lỗ hổng logic khiến khoảng 197 triệu USD bị rút, phần lớn sau đó được trả lại.
- Vụ KyberSwap tháng 11 năm 2023: dự án Việt Nam mất khoảng 47 triệu USD do lỗi làm tròn sâu trong hợp đồng Kyber Elastic, được giới bảo mật gọi là một trong những cuộc tấn công phức tạp nhất lịch sử DeFi.
Rủi ro khi tham gia flash loan
Với người dùng bình thường, flash loan mang lại cơ hội kiếm lợi nhuận từ chênh lệch giá, nhưng biên lợi nhuận thường rất mỏng. Phí gas trên Ethereum Layer 1 khá cao, trong khi các bot chuyên nghiệp dùng kỹ thuật MEV có thể chạy đua và chặn trước giao dịch của bạn. Kẻ tấn công thì không mất gì ngoài phí gas khi giao dịch thất bại, nên động cơ tấn công luôn hiện hữu.
Để phòng thủ, các giao thức hiện đại áp dụng oracle tổng hợp đa nguồn như Chainlink, oracle dựa trên giá trung bình theo thời gian TWAP, khóa chống reentrancy và kiểm toán bảo mật thường xuyên. Nhà đầu tư cũng nên ưu tiên các dự án đã qua kiểm toán độc lập và có quỹ bảo hiểm rủi ro.
Kết luận
Flash loan là công cụ tài chính hai mặt: vừa là cơ hội kinh doanh hợp pháp cho những người am hiểu, vừa là vector tấn công nguy hiểm cho các giao thức kém an toàn. Hiểu rõ cơ chế hoạt động và lịch sử các vụ hack sẽ giúp bạn đánh giá rủi ro tốt hơn khi tham gia thị trường DeFi, đặc biệt là tại Việt Nam nơi dự án KyberSwap từng là bài học đắt giá cho cả cộng đồng.
Tham khảo thêm
What Are Flash Loans in DeFi? – Binance Academy | The DeFi Flash Loan Attack That Changed Everything – CoinDesk | Revisiting Beanstalk Farms Exploit – CertiK | Hacker đánh cắp 47 triệu USD từ Kyber – VnExpress
