Logikbasierte Angriffe machten 55% der Verluste bei DeFi-Flash-Krediten aus und überholten die Preismanipulation

Angriffe, die Fehler im Code eines DeFi-Protokolls ausnutzen, verursachten zwischen Februar 2022 und Juli 2024 55 % der Verluste durch Flash-Loan-Angriffe, wie in einem im Journal of Financial Crime veröffentlichten Papier dargelegt. Ihr Anteil lag in den vorangegangenen zwei Jahren bei 28 %, und dieser Anstieg verhalf ihnen dazu, Angriffe zur Manipulation von Preisfeeds zu überholen.

Die Studie wurde von Tim Hall, Professor an der Fakultät für Polizeiwissenschaft und Kriminologie der University of Winchester, sowie Remo Stieger, ehemaliger Partner bei SyntiFi Risk Intelligence, verfasst. Zwischen Februar 2020 und Juli 2024 dokumentierten sie 72 Flash-Loan-Angriffe mit einem Gesamtschaden von 1,211 Milliarden US-Dollar.

Vier Angriffstypen verursachten über 81 % des Schadens

Ein Flash-Loan ermöglicht es einem Kreditnehmer, kryptowerte ohne Sicherheiten zu entnehmen, sofern diese vor Ende derselben Blockchain-Transaktion zurückgezahlt werden. Das ist nichts Illegales, aber es verschafft dem Angreifer das Kapital, einen Exploit ohne Risiko für sich selbst durchzuführen.

Von den 14 Angriffstypen in der Studie spielte eine Familie mit den Preisdaten, denen ein Protokoll vertraut, und die andere missbrauchte Fehler in ihrer Logik. Die Logik-Familie traf weniger Ziele und kostete im Durchschnitt mehr.

Preisoracle-Angriffe, Ausnutzungen der Logik von Spendenfunktionen und Reentrancy-Angriffe sowie ein einzelner Governance-Angriff in Höhe von 181 Millionen US-Dollar machen zusammen mehr als 81 % der Verluste aus.

Die Autoren sahen, wie Angriffswellen anstiegen und sich anschließend beruhigten. Sie führen dieses Muster darauf zurück, dass Plattformen ihre Abwehrmaßnahmen nach jeder Runde verstärken und Angreifer neue Schwachstellen finden.

Ethereum absorbierte mehr als 80% der $1.211 Milliarden

Angriffe in Höhe von 10 Millionen US-Dollar oder mehr, mit einem Verlustspektrum von 80.000 bis 197 Millionen US-Dollar, machten mehr als 88 % der Verluste aus, wobei Ethereum allein mehr als 80 % davon zu zu Buche schlug.

Flash Loans entfielen auf 18,44 % der 6,568 Milliarden US-Dollar, die im Zeitraum der 254 erfolgreichen DeFi-Angriffe abgezweigt wurden. SyntiFits On-Chain-Engine verarbeitete 20,63 Milliarden Transaktionen auf Ethereum, Base, Optimism, Arbitrum, BNB Chain, Avalanche und Polygon, um diese Bilanz zusammenzustellen.

Das Ausleihen nahm weiter zu, doch nur in einer einzigen sechsmonatigen Periode lagen die Verluste über 0,5 % des insgesamt via Flash Loans ausgeliehenen Betrags. Die Autoren stufen die Bedrohung daher als ernst und wachsend in ihrer Komplexität ein, „aber nicht existenzbedrohend“.

"Wir sehen jetzt Verbrechen, die wir noch nie zuvor gesehen haben und die in der Lage sind, unglaubliche Geldsummen zu stehlen, oft im Bereich von zehn Millionen Dollar", sagte Hall in einer universitären Erklärung.

Hall erwähnte auch eine Plattform, die der Angreifer später in den sozialen Medien verspottete – eine Taktik, die laut Hall „dazu führte, dass einige Opfer mit dem Angreifer in Kontakt traten und die verheerenden Auswirkungen schilderten, die der Verlust dieses Geldes für sie hatte“.

Nach Cryptopolitan erlitt das Venus-Protokoll im März 2026 einen Verlust von über 3,7 Millionen US-Dollar durch einen Angriff, der auf einer Kryptowährung mit geringer Liquidität basierte. Im April verlor ein Kreditgeber mit Sitz in Sui 142.000 US-Dollar, nachdem ein Angreifer ein Blitzdarlehen und eine nicht initialisierte Variable in einem veralteten Belohnungs -Vertrag nutzte.