Explorações de lógica representaram 55% das perdas por flash loans no DeFi, superando a manipulação de preços

Os ataques que exploram erros no código de protocolos DeFi causaram 55% das perdas por flash loans entre fevereiro de 2022 e julho de 2024, segundo um artigo publicado no Journal of Financial Crime. Sua participação foi de 28% nos dois anos anteriores, e o aumento os colocou à frente dos ataques de manipulação de feeds de preço.

O estudo foi escrito por Tim Hall, professor do departamento de policiamento e criminologia da Universidade de Winchester, e Remo Stieger, ex-sócio da SyntiFi Risk Intelligence. Entre fevereiro de 2020 e julho de 2024, eles registraram 72 ataques de flash loan com uma perda total de US$ 1,211 bilhão.

Quatro tipos de ataque causaram mais de 81% dos danos

Um flash loan permite que um mutuário pegue criptomoedas sem garantia, desde que sejam devolvidas antes do término da mesma transação na blockchain. Isso não é ilegal, mas dá ao atacante o capital para executar uma exploração sem correr riscos pessoais.

Das 14 categorias de ataques no estudo, uma explora os dados de preço que um protocolo confia e a outra abusa de falhas na sua lógica. A categoria de lógica atingiu menos alvos e teve um custo médio maior.

Ataques a oráculos de preço, explorações de lógica em funções de doação e ataques de reentrância, além de um único ataque de governança de US$ 181 milhões, juntos representam mais de 81% das perdas.

Os autores observaram ondas de ataques aumentando e depois se estabilizando. Eles associam o padrão às plataformas endurecendo suas defesas após cada rodada e aos atacantes encontrando novas vulnerabilidades.

A Ethereum absorveu mais de 80% dos $1.211 bilhões

Ataques de US$ 10 milhões ou mais, variando de US$ 80.000 a US$ 197 milhões, representaram mais de 88% das perdas, e a Ethereum sozinha respondeu por mais de 80%.

Empréstimos flash corresponderam a 18,44% dos US$ 6,568 bilhões roubados em 254 ataques bem-sucedidos ao DeFi durante todo o período. O mecanismo on-chain da SyntiFi processou 20,63 bilhões de transações na Ethereum, Base, Optimism, Arbitrum, BNB Chain, Avalanche e Polygon para compilar o total.

O volume de empréstimos continuou a aumentar, mas apenas em um período de seis meses as perdas ultrapassaram 0,5% do total emprestado via flash loans. Os autores consideram, portanto, que a ameaça é séria e está crescendo em sofisticação, “mas não existencial.”

“Agora estamos vendo crimes que nunca vimos antes e que são capazes de roubar quantias impressionantes de dinheiro, frequentemente na casa dos dezenas de milhões de dólares”, disse Hall em um comunicado da universidade.

Hall também mencionou uma plataforma que o atacante posteriormente provocou nas redes sociais, uma tática que, segundo ele, “levou algumas vítimas a interagir com o atacante e descrever os impactos devastadores que a perda desse dinheiro causou a elas.”

De acordo com o Cryptopolitan, em março de 2026, o Venus Protocol sofreu uma perda superior a US$ 3,7 milhões em uma exploração baseada em colateral de baixa liquidez do THENA. Em abril, um emprestador baseado em Sui chamado Scallop perdeu US$ 142.000 após um atacante usar um flash loan e uma variável não inicializada em um contrato de recompensas descontinuado contract.