Was sind Flash-Kredite? Krypto-Kredite und Flash-Kredit-Angriffe

Am 17. April 2022 lieh sich ein anonymer Angreifer in einer einzigen atomaren Transaktion über eine Milliarde US-Dollar von Aave, Uniswap und SushiSwap, kaufte genügend Stalk-Governance-Token im Beanstalk-Stablecoin-Protokoll, um einen schädlichen Vorschlag durchzusetzen, leerte die Kasse und zahlte alles zurück, bevor der Block geschlossen wurde. Der Nettoschaden belief sich auf 182 Millionen US-Dollar. Die verstrichene Zeit: ein Ethereum-Block, etwa 13 Sekunden. Der Angreifer besaß zu keinem Zeitpunkt eigene Dollar. Dies ist ein sogenannter Flash Loan, und er erklärt auch den zweifelhaften Ruf dieser Transaktion im DeFi-Bereich.

Was genau sind Flash-Kredite? Ein Flash-Kredit ist ein unbesicherter Kredit, der nur dank der atomaren Struktur von Blockchains möglich ist. Sie leihen sich eine beliebige Menge Token, verwenden diese und zahlen alles in einer einzigen Transaktion zurück. Sollten Sie die Rückzahlung des Kapitals zuzüglich Gebühren versäumen, wird die gesamte Transaktion rückgängig gemacht. Keine Bonitätsprüfung, keine Sicherheiten im Voraus, keine Identitätsprüfung (KYC). Da Flash-Kredite keines dieser Dinge benötigen, stellen sie eine Kreditart dar, die in der traditionellen Finanzwelt kein Pendant hat. Dieser Leitfaden erklärt, was Flash-Kredite im DeFi-Ökosystem sind: ihre Funktionsweise im EVM-Code, reale Anwendungsfälle, die größten Sicherheitslücken von 2020 bis 2025, den Vergleich von Aave, Balancer und Uniswap als Anbieter und wie sich Protokolle im Jahr 2026 schützen werden.

Was ist ein Blitzkredit und wie funktioniert er?

Ein Flash-Kredit ist eine Art unbesicherter Kredit, die typisch für dezentrale Finanzen (DeFi) ist und das deutlichste Beispiel für eine Flash-basierte Technologie im DeFi-Markt darstellt. Man ruft eine Funktion eines Kreditprotokolls auf, das Protokoll überträgt die angeforderte Token-Menge an den eigenen Smart Contract. Dieser führt mit den Token beliebige Operationen aus, und das Protokoll zieht anschließend den Kreditbetrag zuzüglich einer geringen Gebühr zurück, bevor die Transaktion abgeschlossen ist. Kann der Pool die ausstehenden Beträge nicht einziehen, wird die gesamte Transaktion rückgängig gemacht, und es bleibt keine Zustandsänderung bestehen. Aus Sicht des Protokolls hat der Kredit nie stattgefunden. Flash-Kredite sind umstritten, da dieselbe Technologie, die es Entwicklern ermöglicht, Vermögenswerte ohne Vorabsicherheiten zu leihen, auch Angreifern erlaubt, Sicherheitslücken auszunutzen, für deren Ausnutzung zuvor echtes Geld erforderlich war.

Der Begriff tauchte erstmals 2018 im Entwurf des Marble Protocol für eine „Smart-Contract-Bank“ auf, die es Entwicklern ermöglichen sollte, atomare, unbesicherte Kredite auf Ethereum zu vergeben. Flash-Kredite erlangten jedoch erst breite Akzeptanz, als Aave sie im Januar 2020 im Rahmen von Aave V1 auf dem Ethereum-Mainnet einführte. In einem Blogbeitrag von Marc Zeller wurde die Funktion als Möglichkeit dargestellt, Privatanwendern im DeFi-Bereich denselben sofortigen Liquiditätszugang zu bieten, den Hedgefonds im traditionellen Finanzwesen schon immer hatten. Innerhalb eines Jahres verarbeitete Aave Flash-Kredite im Wert von rund 2 Milliarden US-Dollar. Laut Daten von TradingView wuchs das Volumen der Flash-Kredite des Protokolls bis 2025 in einem rollierenden Dreimonatszeitraum auf etwa 7,5 Milliarden US-Dollar.

Wie Flash-Kredite in einer einzelnen Transaktion funktionieren

Jede Blockchain-Transaktion ist atomar. Entweder wird jede einzelne Codezeile erfolgreich ausgeführt, oder keine. Flash-Kredite nutzen diese Eigenschaft aus. Ein Aufrufer stellt einen Smart Contract bereit, der die Empfängerschnittstelle des Anbieters implementiert, und ruft anschließend eine Funktion wie `flashLoan()` im Kreditpool auf. Die Abfolge sieht folgendermaßen aus:

1. Ihr Vertrag ruft die Funktion `flashLoan()` im Aave-Pool auf und fordert eine bestimmte Anzahl von Token an.

2. Der Pool überträgt diese Token an Ihren Vertrag und ruft Ihre `executeOperation`-Callback-Funktion auf.

3. Ihr Vertrag führt die jeweils benötigte willkürliche Logik aus: einen DEX-Swap, eine Liquidation, eine Abstimmung über die Unternehmensführung.

4. Bevor die Rückforderung erfolgt, genehmigt Ihr Vertrag dem Pool die Rückforderung des Kapitals zuzüglich der Prämie.

5. Der Pool zieht die Gelder ab. Wenn der Kontostand auch nur um ein Wei fehlt, wird die gesamte Transaktion rückgängig gemacht.

Flash-Kredite sind auf Blockchains, die keine atomaren Transaktionen unterstützen, nicht möglich und bleiben daher ein natives Merkmal der EVM. Die gesamte Transaktion basiert auf Atomarität. Es gibt kein Szenario, in dem ein Entwickler einen Flash-Kredit initiiert, Geld aufnimmt und diesen dann nicht zurückzahlt, da die Blockchain diesen Zustand nicht bestehen lässt. Die gesamte Transaktion wird rückgängig gemacht, und alle Beteiligten können die Angelegenheit unbeschadet fortsetzen. Aus diesem Grund benötigen Flash-Kredite weder Sicherheiten im Voraus noch eine Bonitätsprüfung oder Vertrauen in den Kreditnehmer. Zahlt der Kreditnehmer den Kredit bis zum Ende der Transaktion nicht zurück, wird er nicht zurückgezahlt und der Zustand zurückgesetzt. Ein Zahlungsausfall bei einem Flash-Kredit ist in besicherten Kreditpools, die diesen Mechanismus unterstützen, mathematisch unmöglich.

Der ERC-3156-Standard von 2020 formalisierte die Schnittstelle für Flash-Kredite auf Ethereum mit zwei Smart Contracts: `IERC3156FlashLender` (die vom Pool implementiert werden muss) und `IERC3156FlashBorrower` (die Ihr Smart Contract implementieren muss). Der Standard vereinheitlichte die zuvor fragmentierten Implementierungen von Flash-Krediten mit inkonsistenten Push/Pull-Rückzahlungsmodellen.

So sehen Flash-Kredite aus, die im DeFi-Bereich täglich verwendet werden

Der Großteil des Volumens von Flash-Krediten ist eher unspektakulär. Die überwiegende Mehrheit der Flash-Kredite im DeFi-Markt fließt in legitime Strategien, die von kurzfristigem Zugriff auf große Tokenmengen profitieren. Flash-Kredite ermöglichen es Privatanwendern, kurzfristig Kredite aufzunehmen und damit ähnlich wie Hedgefonds in traditionellen Märkten überdurchschnittliche Gewinne zu erzielen – nur eben ohne die üblichen Bankbeziehungen. Protokolle wie Aave unterstützen Flash-Kredite nativ, und DeFi-Protokolle wie Aave haben diese Mechanik zu einem zentralen Baustein für On-Chain-Strategien gemacht.

• Arbitrage: der größte Anwendungsfall. Bots erkennen Preisunterschiede zwischen zwei DEXs für dasselbe Währungspaar, stellen ausreichend Kapital bereit, um die Differenz auszugleichen, führen einen Cross-DEX-Trade aus und streichen die Differenz ein. Arbitragegewinne tragen zur Angleichung der Preise an verschiedenen Handelsplätzen bei.
• Sicherheitentausch: Sie haben einen Kredit bei Aave mit ETH als Sicherheit und möchten diese Sicherheit gegen wBTC tauschen, ohne die Position zu schließen. Mit einem Flash-Kredit können Sie in einer einzigen Transaktion refinanzieren.
• Selbstliquidation: Wenn Ihre Position von einem Bot liquidiert werden soll, der eine Strafe von 5-15% berechnet, können Sie den Liquidationsbetrag als Sofortkredit aufnehmen, Ihre eigene Position schließen und die Strafe für sich behalten.
• Schuldenrefinanzierung: Die Übertragung eines bestehenden Kredits von einem Kreditprotokoll auf ein anderes mit einem besseren Zinssatz in einer einzigen Transaktion.
• Liquidationen: Professionelle Liquidations-Bots nutzen Flash-Kredite, um das Kapital für die Liquidation einer unterbesicherten Position vorzustrecken und den Bonus einzustreichen.

Die Kreditdelegierung ist eine weitere Funktion von Aave, die es einem Einleger ermöglicht, Kreditbefugnisse an eine andere Adresse zu delegieren. Sie unterscheidet sich von Flash-Krediten, wird aber in komplexen DeFi-Strategien häufig mit diesen kombiniert. In all diesen Fällen bleibt die zentrale Erkenntnis dieselbe: Flash-Kredite demokratisieren den Zugang zu Kapital für jeden, der Solidity programmieren kann.

Arbitrage, Sicherheiten-Swaps und andere Anwendungsfälle

Arbitrage ist das Paradebeispiel, weil die Zahlen hier eindeutig aufgehen. Angenommen, ETH wird auf Uniswap für 3.000 $ und auf SushiSwap für 3.010 $ gehandelt. Ein Händler nimmt einen Flash-Kredit über 3 Millionen USDC von Aave auf, kauft 1.000 ETH auf Uniswap für 3.000.000 $, verkauft diese 1.000 ETH auf SushiSwap für 3.010.000 $, zahlt Aave 3.000.000 $ zuzüglich der 0,05%igen Prämie (1.500 $) zurück und erzielt so mit einer einzigen Transaktion einen Gewinn von rund 8.500 $. Die Transaktionsgebühren fressen einen Teil davon auf, aber die Rechnung geht trotzdem auf, wenn die Preisdifferenz groß genug ist. Dieses Beispiel für Arbitrage verdeutlicht, warum Flash-Kredite zum Standardinstrument geworden sind, um Preisdifferenzen auf verschiedenen Märkten auszugleichen.

Collateral Swapping bietet denselben Vorteil in umgekehrter Richtung. Angenommen, Sie haben auf Aave einen Kredit über 100.000 $ mit den Sicherheiten des Kreditnehmers (ETH) aufgenommen und befürchten nun einen Kursverfall von ETH. Normalerweise müssten Sie den Kredit zurückzahlen, Ihre ETH freigeben, sie gegen wBTC verkaufen, wieder einzahlen und die Position neu eröffnen – und dabei bei jedem Schritt Slippage in Kauf nehmen. Mit einem Flash Loan erledigen Sie all dies in einer einzigen Transaktion: Sie leihen sich die benötigten 100.000 $ mit neuem Kapital, schließen den ursprünglichen Kredit, erhalten die ETH, tauschen sie gegen wBTC, hinterlegen wBTC als neue Sicherheit, eröffnen den Kredit neu und zahlen den Flash Loan zurück. Ihre Position blieb dabei stets verwaltet. Das ist die Stärke des Collateral Swapping in einer einzigen Transaktion.

Die Vielzahl einzigartiger Arbitragemöglichkeiten in verschiedenen DeFi-Märkten ist mit ein Grund dafür, dass Flash-Kredite selbst nach den großen Sicherheitslücken weiter wuchsen. Jeder neue AMM, jedes neue Kreditprotokoll und jede neue Blockchain schafft weitere Preislücken, die ein Nutzer mit einem Flash-Kredit schließen kann.

Anbieter von Flash-Krediten: Aave, Balancer, Uniswap

Im Jahr 2026 dominieren vier Anbieter den Markt für Flash-Kredite. Jeder von ihnen verfolgt einen etwas anderen Ansatz in Bezug auf Gebühren und Integrationskomplexität.

Aave ist für die meisten Entwickler die Standardwahl. Es bietet die höchste Liquidität, die größte Auswahl an Assets und eine gut dokumentierte Empfängerschnittstelle. Balancer ist die günstigste Option, wenn man nur ein einzelnes Asset benötigt und die Vault-Mechaniken in Kauf nimmt. Uniswap Flash-Swaps sind technisch gesehen keine Flash-Kredite (sondern atomare Token-Swaps mit aufgeschobener Zahlung), dienen aber demselben Zweck der Arbitrage und bieten oft eine höhere Liquidität für ein bestimmtes Währungspaar. Die Ära der Flash-Kredite von dYdX endete 2023/24 mit der Migration des Protokolls auf seine eigene, auf Cosmos basierende Appchain. Daher sind Flash-Kredite von dYdX heute Geschichte und kein aktiver Handelsplatz mehr.

Flash-Kredite vs. traditionelle Kredite im Finanzwesen

Der Vergleich von Flash-Krediten mit traditionellen Krediten ist fast unfair, da sie unterschiedlichen Kategorien angehören. Traditionelle Kredite erfordern Sicherheiten im Voraus, eine Bonitätsprüfung, üblicherweise eine Form der Identitätsprüfung (KYC) und laufen über Monate oder Jahre mit monatlichen Raten. Flash-Kredite benötigen all das nicht. Die einzige „Sicherheit“ ist die Atomarität selbst, durchgesetzt durch die EVM (Electronic Valuation Market). Die einzige „Laufzeit“ ist die jeweilige Transaktion, an der Sie teilnehmen.

Hier liegt der entscheidende Unterschied, den die meisten Einsteiger übersehen. Traditionelle Kredite eignen sich für alles, was über einen einzelnen Block hinaus Bestand haben muss: Hauskauf, Studiengebühren, Unternehmensfinanzierung. Flash-Kredite sind für all das unbrauchbar, da das Kapital vor Transaktionsende in den Pool zurückfließen muss und der Kredit innerhalb desselben Blocks zurückgezahlt wird – sonst hätte er nie existiert. Flash-Kredite eignen sich vielmehr für die Ausführung programmatischer Finanzoperationen innerhalb eines Blocks: Arbitrage, Liquidation, Sicherheitentausch. Da Flash-Kredite nur innerhalb einer einzigen Transaktion existieren können, sind sie ein Werkzeug für spezifische DeFi-Mechanismen, keine Finanzierungsquelle für reale Ausgaben. Man sollte sie als eine neue Art von Kreditmechanismus betrachten, der in DeFi-Smart-Contracts integriert ist, und nicht als Ersatz für eine Hypothek.

Die atomare Natur von Transaktionen ist auch der Grund, warum Flash-Kredite derzeit außerhalb des EVM-Ökosystems nicht möglich sind. Solana, Move-basierte Blockchains und nicht-atomare Ausführungsumgebungen gewährleisten nicht dieselbe Sicherheit. Flash-Kredite sind ausschließlich in der Welt der besicherten Kreditpools angesiedelt, die Millionen von Dollar sicher auszahlen können, da die Rückzahlung der Gelder garantiert ist.

Flash-Kredit-Angriffe: Die größten Sicherheitslücken 2020–2025

Flash-Kredite haben einen umstrittenen Ruf, der fast ausschließlich auf ihre Rolle bei DeFi-Angriffen zurückzuführen ist. Laut Halborns Bericht „Top 100 DeFi Hacks 2025“ wurden Flash-Kredite im Jahr 2024 bei 83,3 Prozent aller relevanten DeFi-Angriffe eingesetzt. Diese Zahl wirkt erschreckend, bis man einen wichtigen Punkt erkennt: Flash-Kredite sind an sich keine Schwachstellen. Sie wirken als Multiplikator. Jeder größere Flash-Kredit-Angriff nutzt einen bereits bestehenden Fehler aus (ein manipulierbares Oracle, einen Rundungsfehler, einen Governance-Vertrag ohne Zeitlimit), den ein Angreifer mithilfe von Flash-Krediten ausnutzen kann, ohne bereits über Hunderte von Millionen Dollar verfügen zu müssen.

Dies sind nur die größten Fälle. Das Muster bleibt jedoch stets gleich: Ein Smart Contract liest irgendwo einen Preis oder einen Kontostand so aus, dass dieser innerhalb eines einzelnen Blocks manipuliert werden kann. Ein Flash-Kredit verschafft dem Angreifer genügend Spielraum, um diesen Wert weit vom fairen Wert abzuweichen. Diese Angriffe auf DeFi-Protokolle finanzieren verschiedene Arten von Angriffen, von einfacher Oracle-Manipulation bis hin zur vollständigen Übernahme der Governance. Der gesamte Kryptodiebstahl über alle Vektoren hinweg belief sich laut Chainalysis im Jahr 2024 auf 1,49 Milliarden US-Dollar und stieg 2025 sprunghaft auf 3,4 Milliarden US-Dollar an, wobei ein Großteil davon auf den einzelnen Bybit-Börsenangriff im Februar 2025 (1,5 Milliarden US-Dollar) zurückzuführen war. Die DeFi-spezifischen Verluste blieben geringer, da die Oracle-Härtung und Invariantentests zum Standard wurden.

Wie ein Preisorakel zu einem Flash-Loan-Angriff wird

Jeder größere Flash-Loan-Angriff ist im Kern eine Manipulation von Oracle-Daten. Die Vorgehensweise ist dabei meist dieselbe. Ein Protokoll benötigt den Preis eines Vermögenswerts, um eine Entscheidung treffen zu können – oft den Sicherheitenwert der Position eines Kreditnehmers. Das Protokoll liest diesen Preis irgendwo in der Blockchain aus. Handelt es sich dabei um einen einzelnen DEX-Pool, der durch einen großen Handel bewegt werden kann, ist ein Flash-Loan genau das richtige Werkzeug, um diesen Pool zu bewegen.

Hier ist der Ablauf Schritt für Schritt erklärt: Ein Angreifer leiht sich 100 Millionen USDC von Aave. Er investiert den gesamten Betrag in einen Ziel-DEX-Pool und erhält dafür Token X. Dadurch steigt der Preis von X in diesem Pool um 300 Prozent. Er leiht sich so viel, wie das Zielprotokoll ihm gegen die nun aufgeblähten X-Sicherheiten leiht. Mit dem umgekehrten Tausch bringt er den Pool wieder auf annähernd den ursprünglichen Preis. Er tilgt den Aave-Flash-Kredit und behält die überschüssigen geliehenen Gelder. Der gesamte Vorgang wird in einer einzigen Transaktion ausgeführt. Das Zielprotokoll liest den aufgeblähten Preis nur einmal, während des Zeitfensters des Angreifers, und der Ziel-Smart-Contract kann den Unterschied nicht feststellen.

Genau das geschah im Februar 2020 bei bZx, und genau das passierte seitdem bei fast jeder Sicherheitslücke im Zusammenhang mit Flash-Krediten, die auf Oracles zurückzuführen war. Die Lösung ist im Prinzip einfach: Man sollte sich nicht auf ein Preis-Orakel verlassen, dessen Preis innerhalb eines einzelnen Blocks verschoben werden kann. In der Praxis dauerte es jedoch mehrere Jahre und kostete die Branche Hunderte Millionen Dollar, diese Lösung flächendeckend umzusetzen.

Eindämmung von Flash-Loan-Angriffen auf Protokollebene

Die Strategien zur Abwehr von Flash-Loan-Angriffen haben sich seit 2020 deutlich verschärft. Wenn Sie im Jahr 2026 ein DeFi-Protokoll entwickeln, gehören diese Abwehrmechanismen zum Standard und sind keine Neuheiten mehr.

• TWAP-Orakel (zeitgewichtete Durchschnittspreise) lesen den Durchschnittspreis der letzten N Blöcke, typischerweise 30 Minuten. Ein Flash-Kredit mit einer einzigen Transaktion kann einen 30-Minuten-Durchschnitt nicht nennenswert beeinflussen, daher neutralisieren TWAPs die Manipulation von Spotpreisen. Uniswap V2 und V3 stellen integrierte TWAP-Akkumulatoren bereit.
• Chainlink-Preisfeeds aggregieren Off-Chain-VWAP-Daten von zahlreichen Börsen und aktualisieren sich asynchron. Um einen Chainlink-Feed zu manipulieren, müsste ein Angreifer mehr als die Hälfte der unabhängigen Oracle-Knoten des Feeds kompromittieren, nicht nur einen DEX-Pool verschieben. Aus diesem Grund nutzen die meisten modernen Kreditprotokolle Chainlink als primäres Oracle.
• Reentrancy-Guards verhindern, dass der per Flash-Loan ausgeliehene Smart Contract während seines Callbacks erneut in den Client gelangt. Der `nonReentrant`-Modifikator von OpenZeppelin ist die Standardimplementierung.
• Governance-Zeitsperren verzögern jegliche Governance-Maßnahme um 24 bis 48 Stunden zwischen Verabschiedung eines Vorschlags und dessen Umsetzung. Eine durch einen Schnellkredit erworbene Stimmmehrheit verfällt lange bevor sie genutzt werden kann. Der Verlust von 182 Millionen US-Dollar bei Beanstalk im April 2022 wäre mit einer einfachen Zeitsperre nicht möglich gewesen.
• Pausenmechanismen und Schutzmechanismen geben DAO-Räten Notfallschlüssel an die Hand, um das Protokoll sofort zu stoppen. Radiant Capital nutzte genau dies im Januar 2024, um den Kursverfall sechs Sekunden nach dem Start seines anfälligen USDC-Marktes zu stoppen.
• Invarianten- und eigenschaftsbasiertes Testen mit Foundry oder Echidna deckt Randfallfehler wie den `donateToReserves`-Fehler in Euler Finance vor dem Mainnet auf. Nach der Veröffentlichung des Euler-Finance-Problems wurde dies zum Standardverfahren für jede auditfähige Codebasis.

Die Kombination dieser Schutzmechanismen erklärt, warum das Verhältnis von DeFi-Verlusten zu DeFi-TVL seit 2022 stetig gesunken ist, obwohl TVL wieder angestiegen ist. Flash-Kredite haben nicht an Wirksamkeit verloren. Die Protokolle sind besser darin geworden, Preise zu erfassen.

Flash-Kredite, Geldwäsche und Blockchain-Tracking

Flash-Kredite sind auch für On-Chain-Compliance-Teams zu einem kleinen, aber realen Problem geworden. Es geht nicht darum, dass Flash-Kredite selbst Geldwäsche betreiben, da das Kapital innerhalb derselben Transaktion in den Pool zurückfließen muss. Die eigentliche Sorge besteht darin, dass sie mithilfe von Mixern, Cross-Chain-Bridges und Swap-Aggregatoren verkettet werden können, um die Spur gestohlener Gelder so zu fragmentieren, dass ihre Zuordnung erschwert wird. Der Zunami-Protokoll-Angriff von 2024 nutzte eine einzige Manipulation mittels Flash-Kredit, um etwa 2,1 Millionen US-Dollar zu erbeuten, wobei Teile des Erlöses über mehrere Protokolle flossen, bevor sie auf Mixer-Adressen landeten.

Positiv ist, dass jede Flash-Kredit-Transaktion eine vollständig öffentliche EVM-Transaktion ist. Analyseunternehmen wie Chainalysis, TRM Labs und Elliptic können die genaue Abfolge der Transaktionen im Nachhinein rekonstruieren, einschließlich des Flash-Kredit-Anbieters, der geliehenen Beträge und jeder Interaktion mit nachgelagerten Smart Contracts. Der Angreifer von Euler Finance („Jacob“) wurde im März 2023 nahezu in Echtzeit öffentlich aufgespürt und zahlte schließlich alle Gelder zurück, unter anderem weil die On-Chain-Transaktion eindeutig nachvollziehbar war. Flash-Kredite machen Angreifer nicht anonym. Sie verkürzen lediglich das Zeitfenster zwischen Ausnutzung und ordnungsgemäßer Abwicklung extrem.

Wachstum von Flash-Krediten (Stand und Volumen) 2024–2026

Flash-Kredite erreichten im Laufe der Jahre 2024 und 2025 stillschweigend ihre Fälligkeit. Laut TradingView erreichte das Flash-Kreditvolumen von Aave V3 in einem rollierenden Dreimonatszeitraum im Jahr 2025 rund 7,5 Milliarden US-Dollar. Das Protokoll führte den DeFi-Kreditmarkt insgesamt mit ausstehenden Krediten aller Art im Wert von etwa 25 Milliarden US-Dollar (laut The Block) an. Balancer behielt seine Gebühr von 0 Prozent für Flash-Kredite durch mehrere Abstimmungen der Governance bei, um die Integration von Entwicklern zu fördern. Uniswap V3 Flash-Swaps blieben die erste Wahl, wenn Nutzer die Markttiefe eines bestimmten Währungspaares benötigten und nicht einen allgemeinen Kredit.

Sicherheitslücken verschwanden zwar nicht, aber ihr Ausmaß nahm im Durchschnitt ab. Radiant Capital verlor 4,5 Millionen US-Dollar, nur sechs Sekunden nachdem am 2. Januar 2024 ein fehlerhafter USDC-Markt auf Arbitrum eingeführt worden war. KiloEx verlor am 14. April 2025 7,5 Millionen US-Dollar durch eine kettenübergreifende Oracle-Manipulationslücke. Die gesamten Gelder wurden vier Tage später gegen eine Prämie von 750.000 US-Dollar an einen White-Hat-Hacker zurückerstattet. Beide Ereignisse waren um Größenordnungen geringer als die Verluste von über 100 Millionen US-Dollar an einzelnen Tagen in den Jahren 2021–2023 und wurden schnell erkannt und eingedämmt.

Die wichtigste Entwicklung im Jahr 2025 war juristischer, nicht technischer Natur. Eine Jury in Manhattan verurteilte Avraham Eisenberg im April 2024 wegen des 116 Millionen Dollar schweren Betrugs bei Mango Markets. Die durch Flash-Loans ausgelöste Manipulation von Marktdaten wurde als Betrug und Rohstoffmanipulation gewertet. Am 23. Mai 2025 hob Richter Arun Subramanian jedoch alle strafrechtlichen Verurteilungen aufgrund unzulässiger Gerichtsbarkeit und fehlender Tatbestandsmerkmale auf. Das Urteil bestätigte zwar nicht Eisenbergs Verteidigung, der Handel sei „legale Marktmanipulation“ gewesen, legte aber die rechtliche Grundlage für die Verfolgung von Flash-Loan-Betrug in den Vereinigten Staaten neu.

Das Fazit zu Flash-Krediten im Jahr 2026

Flash-Kredite gehören zu den saubersten Innovationen im DeFi-Bereich und gleichzeitig zu den am meisten missverstandenen. Sie sind nicht per se schädlich oder eine Sicherheitslücke. Sie sind ein grundlegendes Instrument, das jedem mit einem Vertrag denselben sofortigen Liquiditätszugang ermöglicht, den Hedgefonds früher monopolisierten. Der Großteil des Flash-Kreditvolumens im Jahr 2026 besteht aus Arbitrage- und Refinanzierungsgeschäften, die zur Stabilisierung der DeFi-Preise beitragen. Die Angriffe sorgen zwar für Schlagzeilen, doch das hohe Volumen stammt von Nutzern, die durch ihre Suche die Markteffizienz erhalten.

Die Kehrseite der Medaille ist, dass jedes Protokoll, das Preise, Kontostände oder Abstimmungsschwellenwerte so ausliest, dass sie innerhalb eines Blocks manipuliert werden können, früher oder später durch einen Flash Loan auf die Probe gestellt wird. Die richtige Antwort ist nicht, Flash Loans zu verbieten (das ist unmöglich). Vielmehr müssen Protokolle entwickelt werden, die auch dann korrekt bleiben, wenn ein Angreifer kurzzeitig eine Milliarde Dollar kontrolliert. TWAP-Orakel, Chainlink-Feeds, Governance-Timelocks und Invariantentests sind nicht mehr optional. Sie sind die Kosten für den Betrieb einer Blockchain, auf der Flash Loans existieren.

Marco Lucchetti

Marco Lucchetti is a senior content strategist and blockchain analyst at Plisio. With over 7 years of experience in cryptocurrency research, DeFi protocols, and payment technologies, Marco specializes in creating clear, data-driven content for a global crypto audience. His work focuses on transaction tracing, crypto compliance, and the future of blockchain infrastructure.