Flash Loan คืออะไร: การกู้ยืมคริปโตและการโจมตี Flash Loan

เมื่อวันที่ 17 เมษายน 2565 ผู้โจมตีที่ไม่ระบุตัวตนได้ยืมเงินมากกว่า 1 พันล้านดอลลาร์ในธุรกรรมอะตอมิกครั้งเดียวจาก Aave, Uniswap และ SushiSwap ซื้อโทเค็นการกำกับดูแล Stalk บนโปรโตคอล Beanstalk stablecoin มากพอที่จะผ่านข้อเสนอที่เป็นอันตราย ถอนเงินออกจากคลัง และชำระคืนทั้งหมดก่อนที่บล็อกจะปิด ความเสียหายสุทธิ: 182 ล้านดอลลาร์ เวลาที่ใช้: หนึ่งบล็อกของ Ethereum ประมาณ 13 วินาที ผู้โจมตีไม่เคยมีเงินดอลลาร์เป็นของตัวเองเลย นี่คือสิ่งที่เรียกว่า Flash Loan และนี่คือเหตุผลว่าทำไมรูปแบบพื้นฐานนี้จึงมีชื่อเสียงที่แปลกประหลาดใน DeFi

แล้ว Flash Loan คืออะไรกันแน่? Flash Loan คือสินเชื่อที่ไม่ต้องมีหลักประกัน ซึ่งเกิดขึ้นได้เพราะบล็อกเชนเป็นแบบอะตอมิก คุณสามารถยืมโทเค็นจำนวนเท่าใดก็ได้ ใช้โทเค็นเหล่านั้น และชำระคืนทั้งหมดภายในธุรกรรมเดียว หากคุณไม่สามารถชำระคืนเงินต้นและค่าธรรมเนียมได้ ธุรกรรมทั้งหมดจะถูกยกเลิกเสมือนไม่มีอะไรเกิดขึ้น ไม่ต้องตรวจสอบเครดิต ไม่ต้องมีหลักประกันล่วงหน้า ไม่ต้องทำ KYC เนื่องจาก Flash Loan ไม่ต้องการสิ่งเหล่านั้น จึงทำงานเป็นสินเชื่อประเภทที่ไม่มีในระบบการเงินแบบดั้งเดิม ในคู่มือนี้เกี่ยวกับ Flash Loan ในระบบนิเวศ DeFi: วิธีการทำงานจริงในโค้ด EVM กรณีการใช้งานจริง ช่องโหว่ที่ใหญ่ที่สุดตั้งแต่ปี 2020 ถึง 2025 การเปรียบเทียบ Aave, Balancer และ Uniswap ในฐานะผู้ให้บริการ และวิธีที่โปรโตคอลต่างๆ ป้องกันตัวเองในปี 2026

สินเชื่อด่วนคืออะไร และทำงานอย่างไร

แฟลชโลน (Flash loan) เป็นสินเชื่อแบบไม่มีหลักประกันชนิดหนึ่ง ซึ่งเป็นเอกลักษณ์เฉพาะของระบบการเงินแบบกระจายอำนาจ (DeFi) และเป็นตัวอย่างที่ชัดเจนที่สุดของกลไกพื้นฐานแบบแฟลชในตลาด DeFi คุณเรียกใช้ฟังก์ชันบนโปรโตคอลการให้ยืม โปรโตคอลจะโอนโทเค็นจำนวนที่ร้องขอไปยังสัญญาของคุณ สัญญาของคุณจะประมวลผลตรรกะใดๆ ด้วยเงินเหล่านั้น จากนั้นโปรโตคอลจะดึงเงินต้นพร้อมค่าธรรมเนียมเล็กน้อยกลับคืนมาก่อนที่ธุรกรรมจะสิ้นสุด หากพูลไม่สามารถเรียกเก็บเงินที่ค้างชำระได้ ธุรกรรมทั้งหมดจะถูกยกเลิก และไม่มีการเปลี่ยนแปลงสถานะใดๆ หลงเหลืออยู่ จากมุมมองของโปรโตคอล สินเชื่อนั้นไม่เคยเกิดขึ้น แฟลชโลนมีชื่อเสียงที่ถกเถียงกัน เนื่องจากกลไกพื้นฐานเดียวกันนี้ที่ช่วยให้นักพัฒนาสามารถยืมสินทรัพย์โดยไม่ต้องมีหลักประกันล่วงหน้า ยังช่วยให้ผู้โจมตีสามารถเข้าถึงช่องโหว่ที่เคยต้องใช้เงินจริงในการเจาะระบบได้อีกด้วย

คำว่า "แฟลชโลน" ปรากฏครั้งแรกในดีไซน์ของ Marble Protocol ในปี 2018 สำหรับ "ธนาคารสัญญาอัจฉริยะ" ที่จะช่วยให้นักพัฒนาสามารถดำเนินการกู้ยืมแบบไม่มีหลักประกันบน Ethereum ได้ แต่แฟลชโลนเพิ่งเป็นที่นิยมอย่างแพร่หลายเมื่อ Aave เปิดตัวเป็นส่วนหนึ่งของ Aave V1 บนเครือข่ายหลัก Ethereum ในเดือนมกราคม 2020 โพสต์บล็อกของ Aave ที่ประกาศฟีเจอร์นี้ เขียนโดย Marc Zeller ได้อธิบายว่าเป็นวิธีที่จะให้ผู้ใช้ DeFi รายย่อยเข้าถึงสภาพคล่องได้ทันทีเช่นเดียวกับที่กองทุนเฮดจ์ฟันด์เคยมีในระบบการเงินแบบดั้งเดิม ภายในหนึ่งปี Aave ได้ประมวลผลแฟลชโลนไปแล้วประมาณ 2 พันล้านดอลลาร์ และภายในปี 2025 ปริมาณแฟลชโลนของโปรโตคอลเติบโตขึ้นเป็นประมาณ 7.5 พันล้านดอลลาร์ในระยะเวลาสามเดือนต่อเนื่องกัน ตามข้อมูลจาก TradingView

วิธีการทำงานของสินเชื่อด่วนในธุรกรรมเดียว

ทุกธุรกรรมบนบล็อกเชนนั้นเป็นแบบอะตอมิก กล่าวคือ ทุกบรรทัดของโค้ดภายในนั้นจะทำงานสำเร็จ หรือจะไม่ทำงานเลย สินเชื่อแฟลชใช้ประโยชน์จากคุณสมบัตินี้ ผู้เรียกใช้จะใช้งานสัญญาที่ใช้ส่วนต่อประสานผู้รับของผู้ให้บริการ จากนั้นเรียกใช้ฟังก์ชันเช่น `flashLoan()` บนพูลการให้กู้ยืม ลำดับขั้นตอนมีดังนี้:

1. สัญญาของคุณเรียกใช้ฟังก์ชัน `flashLoan()` บนพูลของ Aave โดยขอโทเค็นจำนวนหนึ่ง

2. พูลจะโอนโทเค็นเหล่านั้นไปยังสัญญาของคุณและเรียกใช้ฟังก์ชันเรียกกลับ `executeOperation` ของคุณ

3. สัญญาของคุณจะใช้ตรรกะใดๆ ก็ได้ตามที่ต้องการ เช่น การแลกเปลี่ยน DEX การชำระบัญชี หรือการลงคะแนนเสียงเพื่อการกำกับดูแล

4. ก่อนที่เจ้าหน้าที่จะติดต่อกลับ สัญญาของคุณจะอนุมัติให้กองทุนดึงเงินต้นพร้อมค่าธรรมเนียมเบี้ยประกันคืน

5. ระบบจะดึงเงินออกจากพูล หากยอดเงินคงเหลือขาดไปแม้เพียง 1 wei การทำธุรกรรมทั้งหมดจะถูกยกเลิก

สินเชื่อแฟลชไม่สามารถใช้งานได้บนบล็อกเชนใดๆ ที่ไม่รองรับธุรกรรมอะตอมิก ซึ่งเป็นเหตุผลว่าทำไมมันจึงยังคงเป็นกลไกพื้นฐานของ EVM ธุรกรรมทั้งหมดขึ้นอยู่กับความเป็นอะตอมิก ไม่มีสถานการณ์ใดที่นักพัฒนาเริ่มต้นสินเชื่อแฟลช กู้ยืมเงิน แล้วไม่สามารถชำระคืนได้ เพราะบล็อกเชนจะไม่ยอมให้สถานะนั้นคงอยู่ ธุรกรรมทั้งหมดจะถูกยกเลิก และทุกคนก็จะเหมือนไม่มีอะไรเกิดขึ้น นั่นเป็นเหตุผลว่าทำไมสินเชื่อแฟลชจึงไม่จำเป็นต้องมีหลักประกันล่วงหน้า การประเมินเครดิต หรือความไว้วางใจในผู้กู้ หากผู้กู้ไม่สามารถชำระคืนได้ภายในสิ้นสุดธุรกรรม เงินกู้จะไม่ได้รับการชำระคืนและสถานะจะถูกยกเลิก การผิดนัดชำระหนี้สินเชื่อแฟลชเป็นไปไม่ได้ทางคณิตศาสตร์ภายในกลุ่มการให้กู้ยืมที่มีหลักประกันซึ่งรองรับกลไกนี้

มาตรฐาน ERC-3156 ปี 2020 ได้กำหนดรูปแบบการใช้งาน Flash Loan บน Ethereum อย่างเป็นทางการด้วยสัญญา 2 ประเภท ได้แก่ `IERC3156FlashLender` (สิ่งที่พูลต้องนำไปใช้) และ `IERC3156FlashBorrower` (สิ่งที่สัญญาของคุณต้องนำไปใช้) มาตรฐานนี้ได้รวมสิ่งที่เคยเป็นการใช้งาน Flash Loan ที่กระจัดกระจายและมีรูปแบบการชำระคืนแบบ Push/Pull ที่ไม่สอดคล้องกันเข้าด้วยกัน

Flash Loan ที่ใช้ใน DeFi ในชีวิตประจำวันมีลักษณะอย่างไร

ปริมาณการกู้ยืมแบบ Flash Loan ส่วนใหญ่ค่อนข้างน่าเบื่อ Flash Loan ส่วนใหญ่ในตลาด DeFi ถูกนำไปใช้ในกลยุทธ์ที่ถูกต้องตามกฎหมาย ซึ่งได้รับประโยชน์จากการเข้าถึงโทเค็นจำนวนมากในระยะสั้น Flash Loan ช่วยให้ผู้ใช้ทั่วไปสามารถกู้ยืมเงินได้อย่างรวดเร็วและมีประสิทธิภาพเหนือกว่าการลงทุนแบบดั้งเดิม เหมือนกับกองทุนเฮดจ์ฟันด์ในตลาดทั่วไป เพียงแต่ไม่ต้องอาศัยความสัมพันธ์ทางการเงินกับลูกค้า โปรโตคอลอย่าง Aave รองรับ Flash Loan โดยตรง และโปรโตคอล DeFi อย่าง Aave ได้เปลี่ยนกลไกนี้ให้เป็นองค์ประกอบหลักสำหรับการสร้างกลยุทธ์บนบล็อกเชน

• การเก็งกำไรส่วนต่างราคา (Arbitrage): การใช้งานที่สำคัญที่สุด บอทจะตรวจจับความแตกต่างของราคาระหว่าง DEX สองแห่งสำหรับคู่สกุลเงินเดียวกัน ทำการยืมเงินทุนจำนวนมากพอที่จะปิดช่องว่างราคา ดำเนินการซื้อขายข้าม DEX และรับส่วนต่างราคาไป การทำกำไรจากการเก็งกำไรส่วนต่างราคาจะช่วยปรับราคาให้สอดคล้องกันในทุกแพลตฟอร์ม
• การแลกเปลี่ยนหลักประกัน: คุณมีสินเชื่อเปิดอยู่บน Aave โดยใช้ ETH เป็นหลักประกัน และคุณต้องการแลกเปลี่ยนหลักประกันนั้นเป็น wBTC โดยไม่ต้องปิดสถานะสินเชื่อ สินเชื่อด่วน (Flash Loan) ช่วยให้คุณสามารถรีไฟแนนซ์ได้ในธุรกรรมเดียว
• การปิดสถานะด้วยตนเอง: หากสถานะของคุณกำลังจะถูกบอทปิดและเรียกเก็บค่าปรับ 5-15% คุณสามารถกู้ยืมเงินจำนวนเท่ากับค่าปรับนั้น ปิดสถานะของคุณเอง และเก็บค่าปรับนั้นไว้เองได้
• การรีไฟแนนซ์หนี้: การย้ายสินเชื่อคงค้างจากสถาบันการเงินหนึ่งไปยังอีกสถาบันหนึ่งที่มีอัตราดอกเบี้ยที่ดีกว่า ในธุรกรรมเดียว
• การชำระบัญชี: บอทชำระบัญชีมืออาชีพใช้เงินกู้ด่วนเพื่อจัดหาเงินทุนที่จำเป็นในการชำระบัญชีสินทรัพย์ที่มีหลักประกันไม่เพียงพอ และรับโบนัสไป

การมอบอำนาจเครดิต (Credit delegation) เป็นคุณสมบัติเสริมของ Aave ที่ช่วยให้ผู้ฝากเงินสามารถมอบอำนาจการกู้ยืมให้กับที่อยู่ (address) อื่นได้ คุณสมบัตินี้แตกต่างจากสินเชื่อแฟลช (flash loan) แต่ก็มักจะถูกนำมาใช้ร่วมกันในกลยุทธ์ DeFi ที่ซับซ้อน โดยสรุปแล้ว แนวคิดหลักก็เหมือนกันคือ สินเชื่อแฟลชทำให้ทุกคนที่สามารถเขียน Solidity สามารถเข้าถึงเงินทุนได้อย่างเท่าเทียมกัน

การเก็งกำไร การแลกเปลี่ยนหลักประกัน และกรณีการใช้งานอื่นๆ

การเก็งกำไรส่วนต่างราคา (Arbitrage) เป็นตัวอย่างที่ชัดเจนที่สุด เพราะตัวเลขมันลงตัวอย่างง่ายดาย ลองนึกภาพว่า ETH ซื้อขายอยู่ที่ 3,000 ดอลลาร์บน Uniswap และ 3,010 ดอลลาร์บน SushiSwap นักลงทุนรายหนึ่งกู้ยืมเงินแบบ Flash Loan จำนวน 3 ล้านเหรียญ USDC จาก Aave ซื้อ ETH 1,000 เหรียญบน Uniswap ในราคา 3,000,000 ดอลลาร์ ขาย ETH จำนวนนั้นบน SushiSwap ในราคา 3,010,000 ดอลลาร์ ชำระคืน Aave 3,000,000 ดอลลาร์ พร้อมค่าพรีเมียม 0.05% (1,500 ดอลลาร์) และได้กำไรประมาณ 8,500 ดอลลาร์จากการทำธุรกรรมครั้งเดียว ค่าธรรมเนียม Gas อาจหักไปบ้าง แต่การคำนวณก็ยังคงใช้ได้หากส่วนต่างราคามีขนาดใหญ่พอ ตัวอย่างการเก็งกำไรส่วนต่างราคานี้เป็นเหตุผลว่าทำไม Flash Loan จึงกลายเป็นเครื่องมือหลักในการปิดส่วนต่างราคาในตลาดต่างๆ

การสลับหลักประกันให้ประโยชน์เช่นเดียวกันในทิศทางที่แตกต่างกัน สมมติว่าคุณเปิดสินเชื่อ 100,000 ดอลลาร์โดยใช้หลักประกันของผู้กู้ (ETH) บน Aave และตอนนี้คุณกังวลว่า ETH จะลดลง ปกติแล้วคุณจะต้องชำระคืนสินเชื่อ ปลดล็อก ETH ของคุณ ขายเป็น wBTC ฝากใหม่ และเปิดสถานะใหม่ทั้งหมด โดยต้องเสียค่าความคลาดเคลื่อน (slippage) ในแต่ละขั้นตอน แต่สินเชื่อแบบ Flash Loan ช่วยให้คุณทำทั้งหมดนี้ได้ในธุรกรรมเดียว: กู้ยืม 100,000 ดอลลาร์ที่จำเป็นในการชำระสินเชื่อโดยใช้เงินทุนใหม่ ปิดสินเชื่อเดิม รับ ETH แลกเปลี่ยนเป็น wBTC ฝาก wBTC เป็นหลักประกันใหม่ เปิดสินเชื่อใหม่ และชำระคืน Flash Loan สถานะของคุณจะไม่ขาดการจัดการ นั่นคือพลังของการสลับหลักประกันในธุรกรรมเดียว

จำนวนโอกาสพิเศษในการเก็งกำไรข้ามตลาดต่างๆ ใน DeFi เป็นส่วนหนึ่งที่ทำให้ Flash Loan ยังคงเติบโตอย่างต่อเนื่องแม้หลังจากการโจมตีครั้งใหญ่ AMM ใหม่ทุกตัว โปรโตคอลการให้กู้ยืมใหม่ทุกตัว และเชนใหม่ทุกตัว ล้วนเพิ่มช่องว่างราคาชุดใหม่ที่ผู้ค้นหาที่มี Flash Loan สามารถปิดได้

ผู้ให้บริการสินเชื่อแฟลช: Aave, Balancer, Uniswap

ในปี 2026 มีผู้ให้บริการสินเชื่อด่วนอยู่ 4 ราย โดยแต่ละรายมีแนวทางที่แตกต่างกันเล็กน้อยในเรื่องค่าธรรมเนียมและความซับซ้อนในการบูรณาการ

Aave เป็นตัวเลือกเริ่มต้นสำหรับนักพัฒนาส่วนใหญ่ เนื่องจากมีสภาพคล่องสูงที่สุด มีสินทรัพย์ให้เลือกมากที่สุด และมีอินเทอร์เฟซผู้รับที่จัดทำเอกสารไว้อย่างดี Balancer เป็นสถานที่ที่ถูกที่สุดเมื่อคุณต้องการเพียงสินทรัพย์เดียวและไม่กังวลเรื่องกลไกของ Vault การแลกเปลี่ยนแบบ Flash Swaps ของ Uniswap นั้นไม่ใช่ Flash Loan อย่างแท้จริง (เป็นการแลกเปลี่ยนโทเค็นแบบ Atomic Token Swaps ที่มีการชำระเงินแบบผ่อนชำระ) แต่ก็ใช้เพื่อวัตถุประสงค์เดียวกันในการเก็งกำไร และมักมีสภาพคล่องที่ดีกว่าสำหรับคู่สกุลเงินเฉพาะ ยุค Flash Loan ของ dYdX สิ้นสุดลงอย่างมีประสิทธิภาพในปี 2023-2024 เมื่อโปรโตคอลย้ายไปยัง AppChain ที่ใช้ Cosmos ของตนเอง ดังนั้น Flash Loan ของ dYdX จึงเป็นเพียงบันทึกทางประวัติศาสตร์มากกว่าจะเป็นสถานที่ที่ใช้งานอยู่

สินเชื่อด่วนเทียบกับสินเชื่อแบบดั้งเดิมในด้านการเงิน

การเปรียบเทียบสินเชื่อระยะสั้นกับสินเชื่อแบบดั้งเดิมนั้นแทบจะไม่ยุติธรรมเลย เพราะทั้งสองอย่างจัดอยู่ในประเภทที่แตกต่างกัน สินเชื่อแบบดั้งเดิมต้องมีหลักประกันล่วงหน้า การตรวจสอบเครดิต โดยปกติแล้วต้องมีการตรวจสอบตัวตน (KYC) และต้องชำระคืนเป็นรายเดือนเป็นเวลาหลายเดือนหรือหลายปี ในขณะที่สินเชื่อระยะสั้นไม่ต้องการสิ่งเหล่านั้นเลย "หลักประกัน" เพียงอย่างเดียวคือความเป็นอะตอมิก (ความเป็นอิสระ) ซึ่งได้รับการบังคับใช้โดยเครื่องลงคะแนนอิเล็กทรอนิกส์ (EVM) "ระยะเวลา" เพียงอย่างเดียวคือธุรกรรมเพียงครั้งเดียวที่คุณทำอยู่

นี่คือข้อแลกเปลี่ยนที่ผู้มาใหม่ส่วนใหญ่มองข้ามไป สินเชื่อแบบดั้งเดิมมีประโยชน์สำหรับสิ่งใดก็ตามที่ต้องคงอยู่เกินกว่าบล็อกเดียว เช่น การซื้อบ้าน การจ่ายค่าเล่าเรียน การให้เงินทุนแก่ธุรกิจ สินเชื่อแฟลชไม่มีประโยชน์สำหรับสิ่งเหล่านั้น เพราะเงินต้นต้องกลับคืนสู่พูลก่อนที่ธุรกรรมจะสิ้นสุด และสินเชื่อจะถูกชำระคืนภายในบล็อกเดียวกัน มิฉะนั้นก็ถือว่าไม่เคยมีอยู่จริง สิ่งที่สินเชื่อแฟลชทำได้ดีจริง ๆ คือการดำเนินการทางการเงินตามโปรแกรมภายในบล็อกเดียว เช่น การเก็งกำไร การชำระบัญชี การแลกเปลี่ยนหลักประกัน เนื่องจากสินเชื่อแฟลชสามารถมีอยู่ได้ภายในธุรกรรมเดียวเท่านั้น จึงเป็นเครื่องมือสำหรับกลไก DeFi เฉพาะ ไม่ใช่แหล่งเงินทุนสำหรับการใช้จ่ายในโลกแห่งความเป็นจริง คิดว่ามันเป็นกลไกสินเชื่อรูปแบบใหม่ที่เกิดขึ้นเองในสัญญาอัจฉริยะของ DeFi ไม่ใช่การทดแทนสินเชื่อบ้าน

ลักษณะที่เป็นอะตอมิกนี่เองที่เป็นเหตุผลว่าทำไม Flash Loan ถึงไม่สามารถใช้งานได้นอกระบบนิเวศ EVM ในขณะนี้ Solana, เครือข่ายที่ใช้ Move และสภาพแวดล้อมการดำเนินการที่ไม่ใช่แบบอะตอมิก ไม่ได้ให้การรับประกันแบบเดียวกัน Flash Loan เกิดขึ้นได้เฉพาะในโลกของกลุ่มการให้กู้ยืมที่มีหลักประกัน ซึ่งสามารถจ่ายเงินได้หลายล้านดอลลาร์อย่างปลอดภัย เพราะพวกเขารู้ว่าเงินทุนนั้นได้รับการรับประกันว่าจะได้รับคืน

การโจมตีสินเชื่อแฟลช: การโจมตีครั้งใหญ่ที่สุดระหว่างปี 2020-2025

สินเชื่อแฟลชมีชื่อเสียงที่ไม่ค่อยดีนัก และส่วนใหญ่มาจากบทบาทของมันในการโจมตีช่องโหว่ในระบบ DeFi รายงาน Top 100 DeFi Hacks 2025 ของ Halborn ประมาณการว่าสินเชื่อแฟลชถูกใช้ในการโจมตี DeFi ที่เข้าเกณฑ์ถึง 83.3 เปอร์เซ็นต์ในปี 2024 ตัวเลขนี้ดูน่ากลัวจนกว่าคุณจะตระหนักถึงสิ่งสำคัญบางอย่าง: สินเชื่อแฟลชไม่ใช่ช่องโหว่ในตัวเอง แต่เป็นตัวคูณกำลัง ทุกการโจมตีสินเชื่อแฟลชครั้งใหญ่จะใช้ประโยชน์จากข้อบกพร่องที่มีอยู่แล้ว (ออราเคิลที่สามารถควบคุมได้ ข้อผิดพลาดในการปัดเศษ สัญญาการกำกับดูแลที่ไม่มีการล็อกเวลา) ซึ่งสินเชื่อแฟลชช่วยให้ผู้โจมตีเข้าถึงได้โดยไม่ต้องมีเงินหลายร้อยล้านดอลลาร์อยู่แล้ว

นี่เป็นเพียงกรณีที่ใหญ่ที่สุดเท่านั้น รูปแบบยังคงเหมือนเดิมทุกครั้ง: สัญญาอัจฉริยะที่ใดที่หนึ่งอ่านราคาหรือยอดคงเหลือในลักษณะที่สามารถถูกบิดเบือนได้ภายในบล็อกเดียว และสินเชื่อแฟลชทำให้ผู้โจมตีมีอำนาจมากพอที่จะผลักดันการอ่านนั้นให้เบี่ยงเบนไปจากมูลค่าที่แท้จริง การโจมตีโปรโตคอล DeFi เหล่านี้เป็นแหล่งทุนสำหรับการโจมตีหลายประเภท ตั้งแต่การบิดเบือนออราเคิลอย่างง่ายไปจนถึงการเข้าควบคุมการกำกับดูแลอย่างเต็มรูปแบบ การโจรกรรมคริปโตทั้งหมดจากทุกช่องทางในปี 2024 มีมูลค่า 1.49 พันล้านดอลลาร์ ตามข้อมูลของ Chainalysis และปี 2025 เพิ่มขึ้นเป็น 3.4 พันล้านดอลลาร์ แม้ว่าส่วนใหญ่จะเป็นการละเมิดข้อมูลจากเว็บเทรด Bybit เพียงครั้งเดียวในเดือนกุมภาพันธ์ 2025 (1.5 พันล้านดอลลาร์) การสูญเสียเฉพาะ DeFi ยังคงทรงตัวเนื่องจากการเสริมความแข็งแกร่งของออราเคิลและการทดสอบความไม่เปลี่ยนแปลงกลายเป็นมาตรฐาน

วิธีที่การคาดการณ์ราคาแปรเปลี่ยนเป็นการโจมตีด้วยสินเชื่อฉับพลัน

การโจมตีช่องโหว่ Flash Loan ครั้งใหญ่ทุกครั้งนั้น โดยพื้นฐานแล้วเป็นเรื่องของการบิดเบือนข้อมูลจาก Oracle กลไกการทำงานส่วนใหญ่เหมือนกัน โปรโตคอลจำเป็นต้องทราบราคาของสินทรัพย์เพื่อใช้ในการตัดสินใจ ซึ่งมักจะเป็นมูลค่าหลักประกันของตำแหน่งผู้กู้ โปรโตคอลจะอ่านราคานั้นจากที่ใดที่หนึ่งบนบล็อกเชน หากที่นั่นคือพูล DEX เดียวที่สามารถเปลี่ยนแปลงได้ด้วยการซื้อขายขนาดใหญ่ Flash Loan ก็เป็นเครื่องมือที่จำเป็นในการเปลี่ยนแปลงพูลนั้น

นี่คือตัวอย่างขั้นตอนโดยละเอียด ผู้โจมตีทำการกู้ยืมเงิน USDC จำนวน 100 ล้านเหรียญจาก Aave อย่างรวดเร็ว พวกเขาเทเงินทั้งหมดลงในพูล DEX เป้าหมายเพื่อแลกกับโทเค็น X ทำให้ราคาของ X ในพูลนั้นพุ่งสูงขึ้น 300 เปอร์เซ็นต์ พวกเขากู้ยืมเงินมากที่สุดเท่าที่โปรโตคอลเป้าหมายจะให้กู้ได้ โดยใช้โทเค็น X ที่มีมูลค่าสูงขึ้นเป็นหลักประกัน พวกเขาทำให้ราคาในพูลกลับมาใกล้เคียงกับราคาเดิมด้วยการซื้อขายแบบตรงกันข้าม พวกเขาชำระคืนเงินกู้ Aave และเก็บเงินส่วนเกินที่กู้ยืมไว้ กระบวนการทั้งหมดเกิดขึ้นในธุรกรรมเดียว โปรโตคอลเป้าหมายจะอ่านราคาที่สูงขึ้นเพียงครั้งเดียวในช่วงเวลาที่ผู้โจมตีอยู่ และสัญญาของเป้าหมายไม่มีทางที่จะแยกแยะความแตกต่างได้

นี่คือสิ่งที่เกิดขึ้นกับ bZx ในเดือนกุมภาพันธ์ 2020 และเป็นสิ่งที่เกิดขึ้นในช่องโหว่ Flash Loan ที่เกี่ยวข้องกับ Oracle เกือบทุกครั้งนับตั้งแต่นั้นมา วิธีแก้ไขนั้นตรงไปตรงมาในหลักการ: อย่าพึ่งพา Oracle ราคาที่สามารถเคลื่อนย้ายได้ภายในบล็อกเดียว ในทางปฏิบัติ อุตสาหกรรมต้องใช้เวลาหลายปีและสูญเสียเงินไปหลายร้อยล้านดอลลาร์กว่าจะนำวิธีแก้ไขนี้มาใช้ในวงกว้างได้จริง

การลดผลกระทบจากการโจมตีด้วยสินเชื่อแฟลชในระดับโปรโตคอล

แนวทางการป้องกันการโจมตีด้วย Flash Loan นั้นแข็งแกร่งขึ้นอย่างมากนับตั้งแต่ปี 2020 หากคุณกำลังสร้างโปรโตคอล DeFi ในปี 2026 การป้องกันเหล่านี้ถือเป็นพื้นฐาน ไม่ใช่สิ่งใหม่แต่อย่างใด

• TWAP (Time-Weighted Average Price) คือออราเคิลที่อ่านราคาเฉลี่ยในช่วง N บล็อกก่อนหน้า ซึ่งโดยทั่วไปคือ 30 นาที การให้กู้ยืมแบบแฟลช (Flash Loan) ที่มีการทำธุรกรรมเพียงครั้งเดียวไม่สามารถเปลี่ยนแปลงราคาเฉลี่ย 30 นาทีได้อย่างมีนัยสำคัญ ดังนั้น TWAP จึงช่วยลดอิทธิพลของการปั่นราคาในตลาดสปอต Uniswap V2 และ V3 มีตัวสะสม TWAP ในตัว
• Chainlink Price Feeds รวบรวมข้อมูล VWAP นอกเครือข่ายจากหลายๆ ตลาดแลกเปลี่ยนและอัปเดตแบบอะซิงโครนัส หากต้องการโจมตีฟีดของ Chainlink ผู้โจมตีจะต้องทำลายโหนดออราเคิลอิสระมากกว่าครึ่งหนึ่งของฟีด ไม่ใช่แค่การเคลื่อนย้ายพูล DEX เพียงพูลเดียว นี่คือเหตุผลที่โปรโตคอลการให้ยืมสมัยใหม่ส่วนใหญ่ใช้ Chainlink เป็นออราเคิลหลัก
• ตัวป้องกันการเข้าถึงซ้ำ (Re-entrancy guards) ป้องกันไม่ให้สัญญาที่ยืมมาแบบชั่วคราว (flash-loaned contract) กลับเข้าไปในระบบเป้าหมาย (victim) อีกครั้งในระหว่างการเรียกกลับ (callback) ตัวแก้ไข `nonReentrant` ของ OpenZeppelin เป็นการใช้งานมาตรฐาน
• การล็อกเวลาด้านการกำกับดูแลจะทำให้การดำเนินการด้านการกำกับดูแลใดๆ ล่าช้าออกไป 24 ถึง 48 ชั่วโมงระหว่างการผ่านข้อเสนอและการดำเนินการ เสียงข้างมากที่ได้มาจากการกู้ยืมแบบฉับพลันจะหายไปนานก่อนที่จะสามารถนำไปใช้ได้ การขาดทุน 182 ล้านดอลลาร์ของ Beanstalk ในเดือนเมษายน 2022 จะไม่เกิดขึ้นหากมีการล็อกเวลาแบบพื้นฐาน
• กลไกการหยุดชั่วคราวและตัวตัดวงจรช่วยให้สภา DAO มีกุญแจฉุกเฉินในการหยุดโปรโตคอลได้ทันที Radiant Capital ใช้กลไกนี้ในเดือนมกราคม 2024 เพื่อหยุดความเสียหายที่เกิดขึ้นภายในหกวินาทีหลังจากที่ตลาด USDC ที่เปราะบางของบริษัทเปิดใช้งาน
• การทดสอบแบบไม่เปลี่ยนแปลงและการทดสอบตามคุณสมบัติด้วย Foundry หรือ Echidna ช่วยตรวจจับบั๊กในกรณีพิเศษ เช่น ปัญหา `donateToReserves` ของ Euler Finance ก่อนที่จะเผยแพร่ลงเมนเน็ต หลังจาก Euler ออกมาแล้ว การทดสอบแบบนี้จึงกลายเป็นมาตรฐานสำหรับโค้ดเบสทุกตัวที่ต้องผ่านการตรวจสอบ

การผสมผสานของกลไกป้องกันเหล่านี้คือเหตุผลที่อัตราส่วนของการขาดทุนใน DeFi ต่อมูลค่ารวมของสินทรัพย์ที่ถูกล็อก (TVL) ใน DeFi ลดลงอย่างต่อเนื่องตั้งแต่ปี 2022 แม้ว่า TVL จะเพิ่มขึ้นก็ตาม สินเชื่อแฟลชไม่ได้ด้อยประสิทธิภาพลง แต่โปรโตคอลต่างๆ มีความสามารถในการอ่านราคาได้ดีขึ้น

สินเชื่อด่วน การฟอกเงิน และการติดตามด้วยเทคโนโลยีบล็อกเชน

สินเชื่อแฟลช (Flash loan) กลายเป็นปัญหาเล็ก ๆ แต่สำคัญสำหรับทีมตรวจสอบการปฏิบัติตามกฎระเบียบในบล็อกเชน ประเด็นไม่ได้อยู่ที่ว่าสินเชื่อแฟลชเองเป็นการฟอกเงิน เพราะเงินต้นต้องกลับคืนสู่พูลภายในธุรกรรมเดียวกัน แต่สิ่งที่น่ากังวลจริง ๆ คือ สินเชื่อแฟลชสามารถเชื่อมโยงกับมิกเซอร์ (mixer) สะพานเชื่อมข้ามเชน (cross-chain bridge) และตัวรวมสวอป (swap aggregator) เพื่อกระจายเส้นทางการโอนเงินที่ถูกขโมย ทำให้ยากต่อการระบุที่มา การโจมตีโปรโตคอล Zunami ในปี 2024 ใช้การบิดเบือนที่ขับเคลื่อนด้วยสินเชื่อแฟลชเพียงครั้งเดียวเพื่อดึงเงินประมาณ 2.1 ล้านดอลลาร์ และส่วนหนึ่งของเงินที่ได้มานั้นเคลื่อนผ่านหลายโปรโตคอลก่อนที่จะไปอยู่ในที่อยู่ของมิกเซอร์

ในด้านบวก แฟลชโลนทุกรายการเป็นธุรกรรม EVM ที่เปิดเผยต่อสาธารณะอย่างสมบูรณ์ บริษัทวิเคราะห์ข้อมูลอย่าง Chainalysis, TRM Labs และ Elliptic สามารถสร้างลำดับการเรียกใช้ธุรกรรมขึ้นมาใหม่ได้อย่างแม่นยำหลังจากนั้น รวมถึงผู้ให้บริการแฟลชโลน จำนวนเงินที่ยืม และการโต้ตอบกับสัญญาปลายทางทั้งหมด ผู้โจมตี Euler Finance ("Jacob") ถูกติดตามตัวได้ในเวลาเกือบเรียลไทม์ในเดือนมีนาคม 2023 และในที่สุดก็คืนเงินทั้งหมด ส่วนหนึ่งเป็นเพราะร่องรอยบนบล็อกเชนนั้นชัดเจน แฟลชโลนไม่ได้ทำให้ผู้โจมตีเป็นนิรนาม เพียงแต่ทำให้ช่วงเวลาระหว่างการโจมตีและการชำระบัญชีที่ราบรื่นสั้นลงอย่างมาก

การเติบโตของสถานะและปริมาณสินเชื่อแบบแฟลชในปี 2024-2026

สินเชื่อแฟลช (Flash loan) ค่อยๆ ครบกำหนดในช่วงปี 2024 และ 2025 ปริมาณสินเชื่อแฟลช V3 ของ Aave พุ่งสูงถึงประมาณ 7.5 พันล้านดอลลาร์ในช่วงสามเดือนต่อเนื่องกันในปี 2025 ตามรายงานของ TradingView โดยโปรโตคอลนี้เป็นผู้นำด้านการให้กู้ยืม DeFi โดยรวม ด้วยยอดสินเชื่อคงค้างทุกประเภทประมาณ 25 พันล้านดอลลาร์ ตามรายงานของ The Block Balancer ยังคงรักษาค่าธรรมเนียมสินเชื่อแฟลช 0 เปอร์เซ็นต์ไว้ได้ผ่านการลงคะแนนเสียงของคณะกรรมการกำกับดูแลหลายครั้ง โดยเฉพาะอย่างยิ่งเพื่อดึงดูดการบูรณาการจากนักพัฒนา การแลกเปลี่ยนแฟลช V3 ของ Uniswap ยังคงเป็นตัวเลือกหลักเมื่อผู้ค้นหาต้องการความลึกของคู่สกุลเงินเฉพาะ มากกว่าสินเชื่อทั่วไป

ช่องโหว่ด้านความปลอดภัยไม่ได้หายไป แต่โดยเฉลี่ยแล้วมีขนาดเล็ลง Radiant Capital สูญเสียเงิน 4.5 ล้านดอลลาร์ภายในหกวินาทีหลังจากเปิดใช้งานตลาด USDC ที่มีข้อบกพร่องบน Arbitrum เมื่อวันที่ 2 มกราคม 2024 KiloEx สูญเสียเงิน 7.5 ล้านดอลลาร์เมื่อวันที่ 14 เมษายน 2025 จากช่องโหว่การจัดการออราเคิลข้ามเชน โดยได้รับเงินคืนทั้งหมดสี่วันต่อมาแลกกับรางวัลสำหรับผู้รู้เท่าทัน 750,000 ดอลลาร์ ทั้งสองเหตุการณ์มีขนาดเล็กกว่ามากเมื่อเทียบกับช่วงปี 2021-2023 ที่สูญเสียเงินมากกว่า 100 ล้านดอลลาร์ในวันเดียว และทั้งสองเหตุการณ์ถูกตรวจจับและควบคุมได้อย่างรวดเร็ว

เรื่องสำคัญที่สุดในปี 2025 คือเรื่องทางกฎหมาย ไม่ใช่เรื่องทางเทคนิค คณะลูกขุนในแมนฮัตตันตัดสินว่าอับราฮัม ไอเซนเบิร์กมีความผิดในเดือนเมษายน 2024 ในข้อหาฉ้อโกง Mango Markets มูลค่า 116 ล้านดอลลาร์ โดยถือว่าการปั่นราคาออราเคิลโดยใช้เงินกู้ระยะสั้นเป็นการฉ้อโกงทางอิเล็กทรอนิกส์และการปั่นราคาสินค้าโภคภัณฑ์ ต่อมาในวันที่ 23 พฤษภาคม 2025 ผู้พิพากษาอรุณ สุบรามาเนียนได้ยกเลิกคำตัดสินทางอาญาทั้งหมดโดยอ้างเหตุผลเรื่องสถานที่และองค์ประกอบของคดี คำตัดสินนี้ไม่ได้สนับสนุนข้อแก้ตัวของไอเซนเบิร์กที่ว่าการซื้อขายดังกล่าวเป็น "การปั่นราคาตลาดที่ถูกกฎหมาย" แต่เป็นการกำหนดมาตรฐานทางกฎหมายใหม่สำหรับการดำเนินคดีกับการฉ้อโกงเงินกู้ระยะสั้นในสหรัฐอเมริกา

บทสรุปเกี่ยวกับสินเชื่อระยะสั้นในปี 2026

สินเชื่อแฟลช (Flash loan) เป็นหนึ่งในนวัตกรรมที่สะอาดที่สุดของ DeFi และเป็นหนึ่งในสิ่งที่คนเข้าใจผิดมากที่สุด โดยเนื้อแท้แล้วมันไม่ได้มีเจตนาร้าย มันไม่ใช่ช่องโหว่ มันเป็นกลไกพื้นฐานที่ให้ทุกคนที่มีสัญญาเข้าถึงสภาพคล่องได้ทันทีเช่นเดียวกับที่กองทุนเฮดจ์ฟันด์เคยผูกขาด และปริมาณสินเชื่อแฟลชส่วนใหญ่ในปี 2026 เป็นการเก็งกำไรและการรีไฟแนนซ์ที่ช่วยให้ราคา DeFi อยู่ในระดับที่เหมาะสม การโจมตีเป็นข่าวพาดหัว แต่ปริมาณธุรกรรมมาจากผู้ค้นหาที่ช่วยให้ตลาดมีประสิทธิภาพ

อีกด้านหนึ่งคือ โปรโตคอลใดๆ ที่อ่านราคา ยอดคงเหลือ หรือเกณฑ์การลงคะแนนในลักษณะที่สามารถถูกบิดเบือนได้ภายในบล็อกเดียว จะต้องถูกทดสอบโดย Flash Loan ในที่สุด การตอบสนองที่ถูกต้องไม่ใช่การห้าม Flash Loan (คุณทำไม่ได้) แต่เป็นการสร้างโปรโตคอลที่ยังคงถูกต้องแม้ว่าผู้โจมตีจะควบคุมเงินจำนวนมหาศาลถึงพันล้านดอลลาร์ในช่วงเวลาสั้นๆ TWAP Oracle, Chainlink Feed, การล็อกเวลาการกำกับดูแล และการทดสอบความไม่เปลี่ยนแปลง ไม่ใช่สิ่งที่ไม่จำเป็นอีกต่อไปแล้ว สิ่งเหล่านี้คือต้นทุนในการดำเนินงานบนบล็อกเชนที่มี Flash Loan อยู่

Marco Lucchetti

Marco Lucchetti is a senior content strategist and blockchain analyst at Plisio. With over 7 years of experience in cryptocurrency research, DeFi protocols, and payment technologies, Marco specializes in creating clear, data-driven content for a global crypto audience. His work focuses on transaction tracing, crypto compliance, and the future of blockchain infrastructure.