Gli exploit logici hanno rappresentato il 55% delle perdite da flash loan nel DeFi, superando la manipolazione dei prezzi

Gli attacchi che sfruttano errori nel codice di un protocollo DeFi hanno causato il 55% delle perdite da flash loan tra febbraio 2022 e luglio 2024, secondo uno studio pubblicato sul Journal of Financial Crime. La loro quota era del 28% nei due anni precedenti, e questo aumento li ha portati in testa rispetto agli attacchi di manipolazione dei feed di prezzo.

Lo studio è stato redatto da Tim Hall, professore presso il dipartimento di polizia e criminologia dell'Università di Winchester, e Remo Stieger, ex partner di SyntiFi Risk Intelligence. Tra febbraio 2020 e luglio 2024, hanno registrato 72 attacchi flash loan per una perdita totale di 1,211 miliardi di dollari.

Quattro tipi di attacco hanno causato oltre 81% dei danni

Un flash loan consente a un mutuatario di prelevare criptovalute non garantite, purché vengano rimborsate prima della conclusione della stessa transazione sulla blockchain. Non vi è nulla di illegale in ciò, ma fornisce all'attaccante il capitale necessario per eseguire un exploit senza correre rischi personali.

Su 14 tipologie di attacco analizzate nello studio, una famiglia manipola i dati sui prezzi su cui il protocollo si affida, mentre l’altra sfrutta vulnerabilità nella sua logica. La categoria legata alla logica ha colpito meno obiettivi e ha avuto un costo medio più elevato.

Gli attacchi ai price oracle, gli exploit della logica delle funzioni donate e gli attacchi di reentrancy, insieme a un singolo attacco governativo da 181 milioni di dollari, rappresentano complessivamente oltre l'81% delle perdite.

Gli autori hanno osservato un aumento delle ondate di attacchi, seguite poi da una stabilizzazione. Collegano questo andamento al rafforzamento delle difese da parte delle piattaforme dopo ogni round e alla ricerca di nuove vulnerabilità da parte degli attaccanti.

Ethereum ha assorbito più del 80% dei $1.211 miliardi

Gli attacchi da 10 milioni di dollari o più, con importi variabili da 80.000 a 197 milioni di dollari, hanno rappresentato oltre l'88% delle perdite, mentre Ethereum da solo ha subito oltre l'80%.

I prestiti flash hanno rappresentato il 18,44% dei 6,568 miliardi di dollari sottratti nei 254 attacchi DeFi riusciti nel periodo considerato. Il motore on-chain di SyntiFi ha elaborato 20,63 miliardi di transazioni su Ethereum, Base, Optimism, Arbitrum, BNB Chain, Avalanche e Polygon per compilare il totale.

Il volume di borrowing è continuato a crescere, ma solo in un periodo di sei mesi le perdite hanno superato lo 0,5% del totale preso in prestito tramite flash loan. Gli autori giudicano quindi la minaccia seria e in crescita per sofisticazione, “ma non esistenziale.”

«Ora stiamo assistendo a crimini mai visti prima, in grado di rubare cifre sbalorditive, spesso nell’ordine dei milioni di dollari», ha dichiarato Hall in uno dichiarazione dell’università.

Hall ha anche discusso di una piattaforma che l’attaccante successivamente prese di mira sui social media, una tattica che, secondo lui, “ha portato alcune vittime a interagire con l’attaccante e a descrivere gli impatti devastanti della perdita di questi fondi sulla loro vita.”

Secondo Cryptopolitan, nel marzo 2026 Venus Protocol ha subito una perdita superiore a 3,7 milioni di dollari a causa di un exploit basato sulla bassa liquidità della collaterale THENA. Ad aprile, un prestatore basato su Sui chiamato Scallop ha perso 142.000 dollari dopo che un attaccante ha utilizzato un flash loan e una variabile non inizializzata in un contratto di ricompense deprecato contratto.