Journal of Financial Crimeに掲載された研究は、2020年2月から2024年7月のDeFi攻撃254件から、72件のフラッシュローン攻撃を特定しました。この集計は、フラッシュローンという借入の仕組みそのものではなく、価格情報や取引ルールの欠陥を悪用する攻撃による損失を整理するものです。
- 72件の損失は12億1,100万ドルで、全DeFi攻撃の18.44%を占めます
- 損失の80%超はEthereum上で発生
- 14類型を価格情報と取引ルールの2群に分類
- 取引ルールの欠陥を突く手法の損失比率は後半期に55%
2020年2月から2024年7月のDeFi攻撃254件の集計
Journal of Financial Crimeに掲載された研究は、2020年2月から2024年7月に成功したDeFi攻撃254件を集計し、このうち72件をフラッシュローン攻撃として特定しました。研究を著したのは、ウィンチェスター大学のティム・ホール教授と、スイスのリスクインテリジェンス企業SyntiFiの元パートナーであるレモ・スティーガーです。
研究の集計では、72件による損失は12億1,100万ドルでした。同じ期間に集計されたDeFi攻撃全体の損失は65億6,800万ドルであり、フラッシュローン攻撃の損失はその18.44%を占めます。損失の80%超はEthereum上で発生しました。個別の被害額は8万ドルから1億9,700万ドルの範囲で、1,000万ドル以上を盗んだ攻撃が損失の88%超を占めたとしています。
担保なしの借入を使うフラッシュローン攻撃の仕組み
フラッシュローンは、同じブロックチェーン取引の中で返済することを条件に、投資家が資金を預けて取引や借入を成立させる仕組みである流動性プールから、担保なしで資産を借りられる仕組みです。研究は、攻撃者がエクスプロイトを実行するために必要な大きな資金を得る手段として、この仕組みを使う事案を分析対象にしました。
研究が対象としたのは、借入そのものではなく、その資金をエクスプロイトの実行に使った攻撃です。研究者らは、200億件超のトランザクションを走査し、フラッシュローン攻撃を14類型に分類しました。
価格情報と取引ルールの2群にみる損失の偏り
14類型は、取引で参照する資産価格の情報である価格フィードを操作するものと、プロトコルの取引ルールの欠陥を突くものの2群に大別されます。前者は取引で使う価格情報を誤らせ、後者はプロトコルが想定した処理の弱点を利用する手法です。研究では、後者は頻度が低い一方で平均損失が大きかったとされています。
14類型のうち4類型が損失の81%超を占め、損失額は一部の高額な攻撃に集中しました。取引ルールの欠陥を突く攻撃がフラッシュローン攻撃の損失に占める比率は、2020年2月から2022年1月には28%でしたが、2022年2月から2024年7月には55%でした。
著者らは、フラッシュローンの利用が増える一方で、借入額に対する損失が0.5%を超えたのは1つの6カ月間だけだったとも記しています。こうした攻撃は重要で、巧妙化し予測しにくい一方、DeFi全体の存続を脅かすものではないと位置付けられています。この位置付けは、2020年2月から2024年7月に集計したフラッシュローン攻撃全体への評価であり、個別サービスの現在の安全性を直接示すものではありません。
