งานวิจัยระบุว่าการโจมตีแบบ Flash Loan ทำให้ DeFi สูญเงิน 1,200,000,000 ดอลลาร์สหรัฐ ระหว่างปี 2020 ถึงปี 2024

การโจมตีแบบสินเชื่อแฟลชสร้างความเสียหาย 1.211 พันล้านดอลลาร์จาก 72 เหตุการณ์ระหว่างปี 2020 ถึง 2024

ความเสียหายและสัดส่วนของเหตุการณ์
งานวิจัยใน Journal of Financial Crime ระบุว่า การโจมตีแบบสินเชื่อแฟลช หรือ flash loan ก่อให้เกิดความเสียหาย 1.211 พันล้านดอลลาร์สหรัฐ จาก 72 เหตุการณ์ระหว่างเดือนกุมภาพันธ์ 2020 ถึงกรกฎาคม 2024 ในระบบ DeFi ความเสียหายส่วนนี้คิดเป็น 18.44% ของมูลค่า 6.568 พันล้านดอลลาร์สหรัฐ ที่สูญเสียจากการโจมตี DeFi ที่สำเร็จทั้งหมด 254 เหตุการณ์ในช่วงเดียวกัน ผู้วิจัยคือศาสตราจารย์ Tim Hall จาก University of Winchester และ Remo Stieger อดีตหุ้นส่วนของ SyntiFi บริษัทข่าวกรองความเสี่ยงของสวิตเซอร์แลนด์ Hall ระบุว่า “ตอนนี้เรากำลังเห็นอาชญากรรมที่ไม่เคยเห็นมาก่อน” บางกรณี “สามารถขโมยเงินจำนวนมากอย่างน่าตกใจ โดยมักอยู่ในหลักหลายสิบล้านดอลลาร์สหรัฐ” ข้อความเกี่ยวกับงานวิจัยยังถูกเผยแพร่โดยบัญชี University of Winchester (@_UoW) ลงวันที่ 5 ตุลาคม 2026

สินเชื่อแฟลชทำให้ผู้ใช้กู้สินทรัพย์จาก liquidity pool โดยไม่ต้องวางหลักประกัน หากชำระคืนภายในบล็อกเชนทรานแซกชันเดียวกัน ผู้โจมตีจึงใช้เครื่องมือนี้เพื่อเข้าถึงเงินทุนจำนวนมากที่จำเป็นต่อการทำ exploit ผลวิจัยพบว่า มากกว่า 80% ของความเสียหายจาก flash loan attack เกิดบน Ethereum มูลค่าความเสียหายรายเหตุการณ์อยู่ระหว่าง 80,000 ดอลลาร์สหรัฐ ถึง 197 ล้านดอลลาร์สหรัฐ และเหตุการณ์ที่ขโมยเงินตั้งแต่ 10 ล้านดอลลาร์สหรัฐขึ้นไป ทำให้เกิดความเสียหายรวมมากกว่า 88% ของความเสียหายทั้งหมดจาก flash loan attack

รูปแบบการโจมตีที่ทำให้มูลค่าสูงขึ้น
ผู้วิจัยจำแนกการโจมตีแบบสินเชื่อแฟลชออกเป็น 14 รูปแบบ ในสองกลุ่มกว้าง คือ กลุ่มที่บิดเบือนข้อมูลราคา หรือ price feed และกลุ่มที่อาศัยช่องโหว่ในตรรกะของโปรโตคอล การโจมตีกลุ่มหลังพบไม่บ่อยเท่า แต่สร้างความเสียหายเฉลี่ยสูงกว่า สัดส่วนความเสียหายจากการโจมตีที่เจาะตรรกะโปรโตคอลเพิ่มขึ้นจาก 28% ของความเสียหายจาก flash loan attack ระหว่างกุมภาพันธ์ 2020 ถึงมกราคม 2022 เป็น 55% ระหว่างกุมภาพันธ์ 2022 ถึงกรกฎาคม 2024 เหตุการณ์ 4 รูปแบบทำให้สูญเสียมากกว่า 81% ได้แก่ price oracle attacks, donate function logic exploits, reentrancy attacks และการโจมตี governance ครั้งเดียวที่สร้างความเสียหาย 181 ล้านดอลลาร์สหรัฐ

คำให้การจากแพลตฟอร์มที่ถูกเจาะ
งานวิจัยอ้างอิงการสัมภาษณ์แพลตฟอร์มหนึ่งที่ถูกโจมตีด้วยสินเชื่อแฟลชอย่างหนัก โดยแพลตฟอร์มขอไม่เปิดเผยชื่อ ตัวแทนของแพลตฟอร์มระบุว่าช่องโหว่ที่ถูกใช้ผ่าน “ทั้งทีมของเราและผู้ตรวจสอบหลายราย” และถูกมองข้ามบนบล็อกเชนมากกว่าหนึ่งปี Hall ระบุว่าหลังจากถูกโจมตี ผู้โจมตีเริ่ม “ยั่ว” แพลตฟอร์มบนโซเชียลมีเดีย ซึ่งทำให้เหยื่อบางรายเข้าไปติดต่อและอธิบายผลกระทบรุนแรงจากการสูญเสียเงิน ตัวแทนแบ่งผู้โจมตีเป็น “นักวิจัยอิสระระดับสมัครเล่น” กับ “กลุ่มอาชญากรรมมืออาชีพหรือกลุ่มระดับรัฐ” โดยอ้างถึงเกาหลีเหนือ ในมุมมองด้านความปลอดภัยของบล็อกเชน การโจมตีของกลุ่มมืออาชีพ “ไม่มีความก้าวหน้าเลยแม้แต่น้อย” ตัวแทนยังกล่าวถึงผลกระทบต่อทีมที่ถูกโจมตีว่า “บ่อยครั้งมันจบลงด้วยการทำให้ทีมแตกสลายและทำลายทีม” แม้เงินจะถูกกู้คืนได้

ผลต่อวงการและเหตุการณ์ล่าสุด
การเคลื่อนไหวของการโจมตีมีลักษณะเป็นช่วงที่เพิ่มขึ้นและช่วงที่ลดลง ซึ่งผู้เขียนระบุว่าสะท้อนว่าแพลตฟอร์มปรับปรุงความปลอดภัยหลังถูกโจมตี ขณะที่ผู้โจมตีหาช่องโหว่ใหม่ งานวิจัยพบด้วยว่าความเสียหายเกิน 0.5% ของมูลค่าที่ถูกกู้ผ่านสินเชื่อแฟลชในเพียงช่วงหกเดือนเดียวเท่านั้น และการใช้งานสินเชื่อแฟลชยังเติบโตต่อไป ผู้เขียนจึงมองว่าการโจมตีเหล่านี้เป็นภัยคุกคามที่มีความสำคัญ มีความซับซ้อนเพิ่มขึ้น และคาดเดายาก แต่ไม่ใช่ภัยคุกคามที่ทำให้ DeFi อยู่ไม่ได้

หลังช่วงการศึกษาของงานวิจัยจบลง แพลตฟอร์มแลกเปลี่ยนแบบกระจายศูนย์ Bunni ประกาศปิดตัวในเดือนตุลาคม 2025 หลังถูก exploit มูลค่า 8.4 ล้านดอลลาร์สหรัฐ ที่ใช้สินเชื่อแฟลช โดยระบุว่าไม่สามารถแบกรับค่าใช้จ่ายในการเปิดให้บริการอีกครั้งอย่างปลอดภัยได้ Hall ระบุว่า “เราต้องการให้สิ่งนี้ไม่ถูกมองเป็นเพียงงานวิจัยเชิงวิชาการ” และ “การวิเคราะห์ที่เรานำเสนอมีประโยชน์สำหรับอุตสาหกรรม cryptocurrency หน่วยงานกำกับดูแล และหน่วยงานกฎหมายและบังคับใช้กฎหมาย” สำหรับผู้ใช้ DeFi ข้อมูลนี้สะท้อนว่าช่องโหว่ด้านตรรกะของโปรโตคอลสามารถเปลี่ยนการโจมตีรายเล็กให้กลายเป็นความเสียหายมูลค่ามหาศาลได้ แม้การใช้งานสินเชื่อแฟลชโดยรวมจะยังเติบโต