Khoản vay chớp nhoáng là gì: Vay tiền điện tử và các cuộc tấn công bằng khoản vay chớp nhoáng

Vào ngày 17 tháng 4 năm 2022, một kẻ tấn công ẩn danh đã vay hơn 1 tỷ đô la trong một giao dịch nguyên tử duy nhất từ Aave, Uniswap và SushiSwap, mua đủ token quản trị Stalk trên giao thức stablecoin Beanstalk để thông qua một đề xuất độc hại, rút sạch kho bạc và hoàn trả mọi thứ trước khi khối được đóng lại. Thiệt hại ròng: 182 triệu đô la. Thời gian trôi qua: một khối Ethereum, khoảng 13 giây. Kẻ tấn công chưa bao giờ sở hữu một đồng nào của riêng mình. Đây chính là bản chất của một khoản vay chớp nhoáng, và đó cũng là lý do tại sao hình thức này lại có tiếng xấu như vậy trong DeFi.

Vậy chính xác thì flash loan là gì? Flash loan là một khoản vay không cần tài sản thế chấp, chỉ tồn tại vì blockchain có tính nguyên tử. Bạn vay bất kỳ số lượng token nào bạn muốn, sử dụng chúng và trả lại toàn bộ trong một giao dịch duy nhất. Nếu bạn không trả lại được tiền gốc cộng với phí, toàn bộ giao dịch sẽ bị hủy bỏ như thể chưa có gì xảy ra. Không cần kiểm tra tín dụng, không cần tài sản thế chấp trả trước, không cần KYC. Vì flash loan không cần bất kỳ điều nào trong số đó, chúng hoạt động như một loại hình cho vay không có đối trọng trong tài chính truyền thống. Trong hướng dẫn này về flash loan trong hệ sinh thái DeFi: cách chúng hoạt động thực tế trong mã EVM, các trường hợp sử dụng thực tế, các vụ tấn công lớn nhất từ năm 2020 đến năm 2025, cách Aave, Balancer và Uniswap so sánh với nhau với tư cách là nhà cung cấp, và cách các giao thức tự bảo vệ mình vào năm 2026.

Khoản vay nhanh là gì và hoạt động như thế nào?

Khoản vay chớp nhoáng (flash loan) là một loại khoản vay không cần thế chấp, độc đáo trong lĩnh vực tài chính phi tập trung (DeFi), và là ví dụ rõ ràng nhất về một cơ chế cơ bản kiểu chớp nhoáng trên thị trường DeFi. Bạn gọi một hàm trên giao thức cho vay, giao thức chuyển số lượng token được yêu cầu vào hợp đồng của bạn, hợp đồng của bạn chạy logic tùy ý với số tiền đó, và sau đó giao thức rút lại số tiền gốc cộng với một khoản phí nhỏ trước khi giao dịch kết thúc. Nếu nhóm cho vay không thể thu hồi được số tiền mình được nợ, toàn bộ giao dịch sẽ bị hủy bỏ và không có thay đổi trạng thái nào được lưu lại. Từ quan điểm của giao thức, khoản vay chưa bao giờ thực sự diễn ra. Các khoản vay chớp nhoáng có tiếng xấu vì cùng một cơ chế cho phép các nhà phát triển vay tài sản mà không cần thế chấp trước cũng cho phép kẻ tấn công khai thác các lỗ hổng mà trước đây cần phải có tiền thật để khai thác.

Thuật ngữ này lần đầu tiên xuất hiện trong thiết kế năm 2018 của Marble Protocol cho một "ngân hàng hợp đồng thông minh" cho phép các nhà phát triển thực hiện các khoản vay nguyên tử không cần thế chấp trên Ethereum. Nhưng các khoản vay chớp nhoáng chỉ trở nên phổ biến khi Aave ra mắt chúng như một phần của Aave V1 trên mạng chính Ethereum vào tháng 1 năm 2020. Bài đăng trên blog của Aave, do Marc Zeller viết, thông báo về tính năng này, đã mô tả nó như một cách để cung cấp cho người dùng DeFi bán lẻ quyền truy cập thanh khoản tức thì tương tự như các quỹ đầu cơ luôn có trong tài chính truyền thống. Trong vòng một năm, Aave đã xử lý khoảng 2 tỷ đô la các khoản vay chớp nhoáng. Theo dữ liệu của TradingView, đến năm 2025, khối lượng khoản vay chớp nhoáng của giao thức đã tăng lên khoảng 7,5 tỷ đô la trong một khoảng thời gian ba tháng liên tiếp.

Cách thức hoạt động của khoản vay nhanh trong một giao dịch duy nhất

Mọi giao dịch trên blockchain đều mang tính nguyên tử. Hoặc mọi dòng mã bên trong nó đều chạy thành công, hoặc không có dòng nào chạy cả. Các khoản vay chớp nhoáng tận dụng đặc tính này. Người gọi triển khai một hợp đồng thực hiện giao diện người nhận của nhà cung cấp và sau đó gọi một hàm như `flashLoan()` trên nhóm cho vay. Trình tự như sau:

1. Hợp đồng của bạn gọi hàm `flashLoan()` trên pool của Aave, yêu cầu một lượng token cụ thể.

2. Nhóm token sẽ chuyển các token đó vào hợp đồng của bạn và gọi hàm callback `executeOperation`.

3. Hợp đồng của bạn thực thi bất kỳ logic tùy ý nào cần thiết: một giao dịch hoán đổi DEX, một thanh lý, một cuộc bỏ phiếu quản trị.

4. Trước khi cuộc gọi lại được thực hiện, hợp đồng của bạn cho phép quỹ rút lại tiền gốc cộng với phí bảo hiểm.

5. Hệ thống rút tiền tự động. Nếu số dư thiếu dù chỉ một wei, toàn bộ giao dịch sẽ bị hủy bỏ.

Giao dịch vay nhanh (flash loan) không khả thi trên bất kỳ chuỗi khối nào không hỗ trợ giao dịch nguyên tử, đó là lý do tại sao nó vẫn là một cơ chế cơ bản của EVM. Toàn bộ giao dịch phụ thuộc vào tính nguyên tử. Không có trường hợp nào nhà phát triển khởi tạo một khoản vay nhanh, vay tiền và sau đó không trả được khoản vay, bởi vì chuỗi khối sẽ không cho phép trạng thái đó tồn tại. Toàn bộ giao dịch sẽ bị hủy bỏ, và mọi người đều ra về như thể không có chuyện gì xảy ra. Đó cũng là lý do tại sao các khoản vay nhanh không cần tài sản thế chấp trả trước, điểm tín dụng hoặc sự tin tưởng vào người vay. Nếu người vay không trả được khoản vay trước khi giao dịch kết thúc, khoản vay sẽ không được hoàn trả và trạng thái sẽ được hoàn tác. Về mặt toán học, việc vỡ nợ trong một khoản vay nhanh là không thể xảy ra trong các nhóm cho vay có thế chấp hỗ trợ cơ chế này.

Tiêu chuẩn ERC-3156 năm 2020 đã chính thức hóa giao diện cho vay nhanh trên toàn hệ thống Ethereum với hai hợp đồng: `IERC3156FlashLender` (hợp đồng mà nhóm cho vay phải triển khai) và `IERC3156FlashBorrower` (hợp đồng của bạn phải triển khai). Tiêu chuẩn này đã thống nhất những gì trước đây là một tập hợp các triển khai cho vay nhanh rời rạc với các mô hình trả nợ đẩy/kéo không nhất quán.

Cách thức sử dụng flash loan trong DeFi hàng ngày trông như thế nào

Phần lớn các khoản vay chớp nhoáng (flash loan) khá nhàm chán. Đại đa số các khoản vay chớp nhoáng được sử dụng trên thị trường DeFi đều hướng đến các chiến lược hợp pháp, những chiến lược được hưởng lợi từ việc tiếp cận nhanh chóng một lượng lớn token trong thời gian ngắn. Vay chớp nhoáng cho phép người dùng thông thường vay tiền nhanh và tạo ra lợi thế cạnh tranh vượt trội, tương tự như cách các quỹ đầu cơ hoạt động trên thị trường truyền thống, nhưng không cần đến mối quan hệ ngân hàng truyền thống. Các giao thức như Aave hỗ trợ vay chớp nhoáng một cách tự nhiên, và các giao thức DeFi như Aave đã biến cơ chế này thành một khối xây dựng cốt lõi cho các chiến lược trên chuỗi.

• Giao dịch chênh lệch giá (Arbitrage): trường hợp sử dụng lớn nhất. Các bot phát hiện sự khác biệt về giá giữa hai sàn giao dịch phi tập trung (DEX) cho cùng một cặp tiền tệ, vay nhanh đủ vốn để thu hẹp khoảng cách, thực hiện giao dịch xuyên DEX và thu về lợi nhuận từ chênh lệch giá. Lợi nhuận từ giao dịch chênh lệch giá giúp điều chỉnh giá cả giữa các sàn giao dịch.
• Hoán đổi tài sản thế chấp: Bạn có một khoản vay đang mở trên Aave với tài sản thế chấp là ETH, và bạn muốn hoán đổi tài sản thế chấp đó lấy wBTC mà không cần đóng vị thế. Khoản vay nhanh cho phép bạn tái cấp vốn chỉ trong một giao dịch.
• Tự thanh lý: nếu vị thế của bạn sắp bị thanh lý bởi một bot với mức phí phạt từ 5-15%, bạn có thể sử dụng dịch vụ flash loan để lấy số tiền thanh lý, tự đóng vị thế của mình và giữ lại khoản phí phạt đó.
• Tái cấu trúc nợ: chuyển khoản vay hiện có từ hình thức cho vay này sang hình thức khác với lãi suất tốt hơn, trong một giao dịch duy nhất.
• Thanh lý tài sản: các bot thanh lý chuyên nghiệp sử dụng các khoản vay nhanh để ứng trước vốn cần thiết nhằm thanh lý các vị thế thiếu tài sản thế chấp và bỏ túi khoản tiền thưởng.

Ủy quyền tín dụng là một tính năng liền kề của Aave cho phép người gửi tiền ủy quyền quyền vay cho một địa chỉ khác. Nó khác với các khoản vay nhanh (flash loan) nhưng thường được kết hợp với chúng trong các chiến lược DeFi phức tạp. Trong tất cả những điều này, điểm mấu chốt đều giống nhau: các khoản vay nhanh dân chủ hóa việc tiếp cận vốn cho bất kỳ ai có thể viết Solidity.

Chênh lệch giá, hoán đổi tài sản thế chấp và các trường hợp sử dụng khác

Giao dịch chênh lệch giá (arbitrage) là ví dụ điển hình vì các con số được tính toán rất rõ ràng. Hãy tưởng tượng ETH đang được giao dịch ở mức 3.000 đô la trên Uniswap và 3.010 đô la trên SushiSwap. Một nhà đầu tư vay nhanh 3 triệu USDC từ Aave, mua 1.000 ETH trên Uniswap với giá 3.000.000 đô la, bán 1.000 ETH đó trên SushiSwap với giá 3.010.000 đô la, trả lại cho Aave 3.000.000 đô la cộng với phí bảo hiểm 0,05% (1.500 đô la), và thu về khoảng 8.500 đô la lợi nhuận chỉ trong một giao dịch. Phí gas sẽ chiếm một phần lợi nhuận, nhưng phép tính vẫn đúng nếu chênh lệch giá đủ lớn. Ví dụ về giao dịch chênh lệch giá này là lý do tại sao các khoản vay nhanh đã trở thành công cụ mặc định để thu hẹp chênh lệch giá trên các thị trường khác nhau.

Giao dịch hoán đổi tài sản thế chấp mang lại lợi ích tương tự nhưng theo hướng khác. Giả sử bạn đã mở một khoản vay 100.000 đô la bằng tài sản thế chấp của người vay (ETH) trên Aave, và giờ bạn lo lắng ETH sẽ giảm giá. Thông thường, bạn sẽ cần phải trả nợ, mở khóa ETH, bán nó để lấy wBTC, gửi lại tiền và mở lại vị thế, tất cả đều phải chịu phí trượt giá ở mỗi bước. Một khoản vay nhanh (flash loan) cho phép bạn thực hiện tất cả trong một giao dịch nguyên tử duy nhất: vay 100.000 đô la cần thiết để trả khoản vay bằng nguồn vốn mới, đóng khoản vay ban đầu, nhận ETH, hoán đổi nó để lấy wBTC, gửi wBTC làm tài sản thế chấp mới, mở lại khoản vay, trả nợ nhanh. Vị thế của bạn không bao giờ bị bỏ trống. Đó là sức mạnh của việc hoán đổi tài sản thế chấp trong một lệnh gọi nguyên tử duy nhất.

Số lượng cơ hội chênh lệch giá độc đáo trên các thị trường khác nhau trong DeFi là một phần lý do tại sao các khoản vay chớp nhoáng tiếp tục tăng trưởng ngay cả sau các vụ khai thác lớn. Mỗi AMM mới, mỗi giao thức cho vay mới và mỗi chuỗi khối mới đều bổ sung thêm một loạt khoảng trống giá mà người tìm kiếm có thể lấp đầy bằng khoản vay chớp nhoáng.

Nhà cung cấp khoản vay nhanh: Aave, Balancer, Uniswap

Bốn nhà cung cấp thống trị thị trường cho vay nhanh vào năm 2026. Mỗi nhà cung cấp có cách tiếp cận hơi khác nhau về phí và độ phức tạp trong việc tích hợp.

Aave là lựa chọn mặc định của hầu hết các nhà phát triển. Nó có tính thanh khoản cao nhất, danh mục tài sản lớn nhất và giao diện người nhận được tài liệu hóa tốt. Balancer là nơi giao dịch rẻ nhất khi bạn chỉ cần một tài sản duy nhất và không quan tâm đến cơ chế kho tiền. Giao dịch hoán đổi nhanh (flash swap) của Uniswap về mặt kỹ thuật không phải là khoản vay nhanh (flash loan) (chúng là các giao dịch hoán đổi token nguyên tử với thanh toán trả chậm), nhưng chúng phục vụ cùng mục đích cho giao dịch chênh lệch giá và thường có tính thanh khoản tốt hơn cho một cặp cụ thể. Kỷ nguyên cho vay nhanh của dYdX đã thực sự kết thúc vào năm 2023-2024 khi giao thức chuyển sang chuỗi ứng dụng dựa trên Cosmos của riêng mình, vì vậy các khoản vay nhanh của nó hiện chỉ còn là một ghi chú lịch sử chứ không còn là một nơi giao dịch hoạt động nữa.

So sánh giữa vay nhanh và vay truyền thống trong lĩnh vực tài chính

So sánh các khoản vay nhanh với các khoản vay truyền thống gần như không công bằng vì chúng thuộc các loại khác nhau. Các khoản vay truyền thống yêu cầu tài sản thế chấp trả trước, kiểm tra tín dụng, thường là một số hình thức xác minh danh tính khách hàng (KYC), và kéo dài trong nhiều tháng hoặc nhiều năm với các khoản trả góp hàng tháng. Các khoản vay nhanh không yêu cầu bất kỳ điều nào trong số đó. "Tài sản thế chấp" duy nhất là tính nguyên tử, được đảm bảo bởi máy POS. "Thời hạn" duy nhất là giao dịch duy nhất mà bạn tham gia.

Đây là sự đánh đổi mà hầu hết người mới thường bỏ qua. Các khoản vay truyền thống hữu ích cho bất cứ thứ gì cần tồn tại lâu dài hơn một khối giao dịch: mua nhà, trả học phí, tài trợ kinh doanh. Các khoản vay chớp nhoáng thì vô dụng đối với bất kỳ việc nào trong số đó vì tiền gốc phải được trả lại vào nhóm trước khi giao dịch kết thúc, và khoản vay được hoàn trả trong cùng một khối hoặc nó sẽ không bao giờ tồn tại. Điều mà các khoản vay chớp nhoáng thực sự giỏi là thực hiện một hoạt động tài chính theo chương trình trong một khối: giao dịch chênh lệch giá, thanh lý, hoán đổi tài sản thế chấp. Vì các khoản vay chớp nhoáng chỉ có thể tồn tại trong một giao dịch duy nhất, chúng là một công cụ cho các cơ chế DeFi cụ thể, chứ không phải là nguồn tài trợ cho chi tiêu trong thế giới thực. Hãy coi chúng như một loại cơ chế cho vay mới đặc trưng của hợp đồng thông minh DeFi, chứ không phải là sự thay thế cho khoản thế chấp.

Bản chất nguyên tử cũng là lý do tại sao cho vay nhanh (flash loan) hiện không khả thi bên ngoài hệ sinh thái EVM. Solana, các chuỗi dựa trên giao dịch di động (Move-based chains) và các môi trường thực thi không nguyên tử không đảm bảo điều tương tự. Cho vay nhanh hoàn toàn tồn tại trong thế giới của các nhóm cho vay có tài sản thế chấp, nơi có thể an toàn chi trả hàng triệu đô la vì họ biết rằng tiền được đảm bảo sẽ được hoàn trả.

Các cuộc tấn công cho vay chớp nhoáng: những lỗ hổng lớn nhất năm 2020-2025

Các khoản vay chớp nhoáng (flash loan) có tiếng xấu gây nhiều tranh cãi, và điều này gần như hoàn toàn xuất phát từ vai trò của chúng trong các vụ tấn công DeFi. Báo cáo Top 100 DeFi Hacks 2025 của Halborn ước tính rằng các khoản vay chớp nhoáng đã được sử dụng trong 83,3% các vụ tấn công DeFi đủ điều kiện trong năm 2024. Con số đó trông thật đáng sợ cho đến khi bạn nhận ra một điều quan trọng: các khoản vay chớp nhoáng tự thân không phải là lỗ hổng. Chúng là một yếu tố khuếch đại sức mạnh. Mỗi cuộc tấn công lớn vào khoản vay chớp nhoáng đều khai thác một lỗi có sẵn (một oracle dễ bị thao túng, một lỗi làm tròn, một hợp đồng quản trị không có khóa thời gian) mà các khoản vay chớp nhoáng cho phép kẻ tấn công tiếp cận mà không cần phải sở hữu hàng trăm triệu đô la trước đó.

Đây chỉ là những trường hợp lớn nhất. Mô hình luôn giống nhau: một hợp đồng thông minh nào đó đọc giá hoặc số dư theo cách có thể bị thao túng trong một khối duy nhất, và một khoản vay chớp nhoáng cung cấp cho kẻ tấn công đủ sức mạnh để đẩy giá trị đọc đó ra xa giá trị hợp lý. Những cuộc tấn công vào các giao thức DeFi này tài trợ cho nhiều loại tấn công khác nhau, từ thao túng oracle đơn giản đến chiếm đoạt toàn bộ quyền quản trị. Tổng số tiền điện tử bị đánh cắp trên tất cả các phương thức trong năm 2024 là 1,49 tỷ đô la theo Chainalysis, và năm 2025 đã tăng lên 3,4 tỷ đô la, mặc dù phần lớn trong số đó là do vụ xâm phạm sàn giao dịch Bybit duy nhất vào tháng 2 năm 2025 (1,5 tỷ đô la). Thiệt hại cụ thể đối với DeFi vẫn ổn định hơn khi việc tăng cường bảo mật oracle và kiểm thử bất biến trở thành tiêu chuẩn.

Cách một công cụ dự báo giá biến thành một cuộc tấn công cho vay chớp nhoáng

Về bản chất, mọi vụ tấn công cho vay chớp nhoáng lớn đều là câu chuyện thao túng oracle. Cơ chế hoạt động đều giống nhau trong hầu hết các trường hợp. Một giao thức cần biết giá của một tài sản để đưa ra quyết định, thường là giá trị tài sản thế chấp của vị thế người vay. Giao thức đọc giá đó từ một nguồn nào đó trên chuỗi. Nếu nguồn đó là một pool DEX duy nhất có thể bị tác động bởi một giao dịch lớn, thì cho vay chớp nhoáng chính là công cụ cần thiết để thực hiện điều đó.

Đây là mô tả từng bước chi tiết. Kẻ tấn công vay nhanh 100 triệu USDC từ Aave. Chúng đổ toàn bộ số tiền này vào một pool DEX mục tiêu để đổi lấy token X, đẩy giá X tăng 300% trên pool đó. Chúng vay tối đa số tiền mà giao thức của nạn nhân cho vay dựa trên tài sản thế chấp là lượng X đã bị thổi phồng. Chúng đưa pool trở lại mức giá gần như ban đầu bằng giao dịch ngược lại. Chúng trả lại khoản vay nhanh từ Aave. Chúng giữ lại số tiền vay dư thừa. Toàn bộ quá trình được thực hiện trong một giao dịch duy nhất. Giao thức của nạn nhân chỉ đọc được mức giá bị thổi phồng một lần duy nhất, trong khoảng thời gian mà kẻ tấn công giao dịch, và hợp đồng của nạn nhân không có cách nào để phân biệt được sự khác biệt.

Đây là điều đã xảy ra trên bZx vào tháng 2 năm 2020, và đó cũng là điều đã xảy ra trong hầu hết các vụ khai thác cho vay nhanh liên quan đến oracle kể từ đó. Về nguyên tắc, cách khắc phục khá đơn giản: không nên dựa vào oracle giá có thể bị thay đổi bên trong một khối duy nhất. Trên thực tế, ngành công nghiệp đã mất vài năm và hàng trăm triệu đô la thiệt hại để thực sự triển khai bản vá lỗi này trên quy mô lớn.

Giảm thiểu các cuộc tấn công cho vay chớp nhoáng ở cấp độ giao thức

Các biện pháp phòng thủ chống lại các cuộc tấn công cho vay chớp nhoáng đã được củng cố đáng kể kể từ năm 2020. Nếu bạn đang xây dựng một giao thức DeFi vào năm 2026, đây là những biện pháp phòng thủ thiết yếu, chứ không phải là điều mới lạ.

• Các oracle TWAP (giá trung bình có trọng số theo thời gian) đọc giá trung bình trong N khối trước đó, thường là 30 phút. Một khoản vay nhanh chóng chỉ với một giao dịch duy nhất không thể làm thay đổi đáng kể mức trung bình 30 phút, do đó TWAP vô hiệu hóa việc thao túng giá giao ngay. Uniswap V2 và V3 cung cấp các bộ tích lũy TWAP tích hợp sẵn.
• Nguồn cấp dữ liệu giá Chainlink tổng hợp dữ liệu VWAP ngoài chuỗi từ nhiều sàn giao dịch và cập nhật không đồng bộ. Để thao túng nguồn cấp dữ liệu Chainlink, kẻ tấn công sẽ phải làm hỏng hơn một nửa số nút oracle độc lập của nguồn cấp dữ liệu đó, chứ không chỉ đơn thuần là di chuyển một pool DEX. Đây là lý do tại sao hầu hết các giao thức cho vay hiện đại sử dụng Chainlink làm oracle chính của chúng.
• Các cơ chế bảo vệ chống tái nhập ngăn chặn hợp đồng được mượn nhanh chóng tái nhập vào đối tượng nạn nhân trong quá trình gọi lại. Bộ điều chỉnh `nonReentrant` của OpenZeppelin là cách triển khai tiêu chuẩn.
• Các cơ chế khóa thời gian quản trị trì hoãn mọi hành động quản trị từ 24 đến 48 giờ giữa thời điểm đề xuất được thông qua và thời điểm thực thi. Đa số phiếu bầu có được nhờ khoản vay chớp nhoáng sẽ tan biến rất lâu trước khi nó có thể được sử dụng. Khoản lỗ 182 triệu đô la của Beanstalk vào tháng 4 năm 2022 sẽ không thể xảy ra nếu chỉ sử dụng cơ chế khóa thời gian thông thường.
• Các cơ chế tạm dừng và cầu dao ngắt mạch cung cấp cho hội đồng DAO các chìa khóa khẩn cấp để dừng giao thức ngay lập tức. Radiant Capital đã sử dụng chính xác điều này vào tháng 1 năm 2024 để ngăn chặn sự thất thoát chỉ sáu giây sau khi thị trường USDC dễ bị tổn thương của họ được triển khai.
• Kiểm thử dựa trên thuộc tính và tính bất biến với Foundry hoặc Echidna giúp phát hiện các lỗi ngoại lệ như vấn đề `donateToReserves` của Euler Finance trước khi triển khai mạng chính thức. Sau khi Euler ra mắt, điều này đã trở thành thông lệ tiêu chuẩn cho mọi codebase đạt chuẩn kiểm toán.

Sự kết hợp của các biện pháp phòng vệ này là lý do tại sao tỷ lệ tổn thất DeFi so với tổng giá trị bị khóa (TVL) của DeFi đã giảm đều đặn kể từ năm 2022 ngay cả khi TVL tăng trở lại. Các khoản vay nhanh (flash loan) không hề trở nên yếu hơn. Các giao thức đã trở nên giỏi hơn trong việc đọc giá.

Cho vay chớp nhoáng, rửa tiền và theo dõi blockchain

Các khoản vay chớp nhoáng cũng trở thành một mối lo ngại nhỏ nhưng có thật đối với các nhóm tuân thủ quy định trên chuỗi. Vấn đề không phải là bản thân các khoản vay chớp nhoáng rửa tiền, vì tiền gốc phải được trả lại vào nhóm trong cùng một giao dịch. Mối lo ngại thực sự là chúng có thể được liên kết với các bộ trộn, cầu nối xuyên chuỗi và bộ tổng hợp hoán đổi để phân mảnh dấu vết của các khoản tiền bị đánh cắp theo những cách khiến việc xác định nguồn gốc trở nên khó khăn hơn. Vụ tấn công Giao thức Zunami năm 2024 đã sử dụng một thủ đoạn thao túng duy nhất dựa trên khoản vay chớp nhoáng để rút ra khoảng 2,1 triệu đô la, và một phần số tiền thu được đã được chuyển qua nhiều giao thức trước khi đến các địa chỉ bộ trộn.

Về mặt tích cực, mọi khoản vay chớp nhoáng đều là giao dịch EVM công khai hoàn toàn. Các công ty phân tích như Chainalysis, TRM Labs và Elliptic có thể tái tạo lại trình tự chính xác của các cuộc gọi sau đó, bao gồm cả nhà cung cấp khoản vay chớp nhoáng, số tiền vay và mọi tương tác hợp đồng tiếp theo. Kẻ tấn công Euler Finance ("Jacob") đã bị truy tìm công khai gần như theo thời gian thực vào tháng 3 năm 2023 và cuối cùng đã trả lại toàn bộ số tiền, một phần vì dấu vết trên chuỗi không hề mơ hồ. Các khoản vay chớp nhoáng không làm cho kẻ tấn công trở nên ẩn danh. Chúng chỉ làm cho khoảng thời gian giữa việc khai thác và thanh toán sạch sẽ trở nên cực kỳ ngắn.

Tình hình và khối lượng cho vay nhanh giai đoạn 2024-2026

Các khoản vay nhanh (flash loan) đã lặng lẽ đáo hạn trong năm 2024 và 2025. Theo TradingView, khối lượng giao dịch flash loan V3 của Aave đạt khoảng 7,5 tỷ đô la chỉ trong ba tháng liên tiếp của năm 2025, và theo The Block, giao thức này dẫn đầu hoạt động cho vay DeFi nói chung với khoảng 25 tỷ đô la dư nợ các loại. Balancer duy trì mức phí flash loan 0% thông qua nhiều cuộc bỏ phiếu quản trị, đặc biệt là để tiếp tục thu hút các nhà phát triển tích hợp. Giao dịch flash swap V3 của Uniswap vẫn là lựa chọn hàng đầu khi người dùng cần tìm kiếm độ sâu giao dịch của một cặp tiền tệ cụ thể thay vì một khoản vay đa năng.

Các lỗ hổng bảo mật không biến mất hoàn toàn, nhưng quy mô của chúng trung bình nhỏ hơn. Radiant Capital mất 4,5 triệu đô la chỉ sáu giây sau khi triển khai một thị trường USDC lỗi trên Arbitrum vào ngày 2 tháng 1 năm 2024. KiloEx mất 7,5 triệu đô la vào ngày 14 tháng 4 năm 2025 do một lỗ hổng thao túng oracle xuyên chuỗi, và toàn bộ số tiền đã được thu hồi bốn ngày sau đó để đổi lấy khoản tiền thưởng 750.000 đô la cho hacker mũ trắng. Cả hai sự kiện đều nhỏ hơn nhiều so với thời kỳ 2021-2023 với những khoản lỗ hơn 100 triệu đô la trong một ngày, và cả hai đều được phát hiện và kiểm soát nhanh chóng.

Câu chuyện quan trọng nhất năm 2025 là về mặt pháp lý, chứ không phải kỹ thuật. Vào tháng 4 năm 2024, bồi thẩm đoàn Manhattan đã kết tội Avraham Eisenberg về vụ lừa đảo Mango Markets trị giá 116 triệu đô la, coi hành vi thao túng thị trường bằng các khoản vay chớp nhoáng là gian lận qua mạng và thao túng hàng hóa. Sau đó, vào ngày 23 tháng 5 năm 2025, Thẩm phán Arun Subramanian đã hủy bỏ tất cả các bản án hình sự dựa trên lý do về thẩm quyền và yếu tố cấu thành tội phạm. Phán quyết không ủng hộ lập luận bào chữa của Eisenberg rằng giao dịch đó là "thao túng thị trường hợp pháp", nhưng nó đã thiết lập lại cơ sở pháp lý cho cách thức truy tố các vụ lừa đảo bằng khoản vay chớp nhoáng ở Hoa Kỳ.

Tóm lại về các khoản vay chớp nhoáng năm 2026

Các khoản vay chớp nhoáng (flash loan) là một trong những đổi mới thuần túy nhất của DeFi và cũng là một trong những điều bị hiểu lầm nhiều nhất. Chúng không inherently độc hại. Chúng không phải là một lỗ hổng bảo mật. Chúng là một công nghệ cơ bản cho phép bất kỳ ai có hợp đồng đều có quyền truy cập thanh khoản tức thì, giống như cách mà các quỹ đầu cơ từng độc chiếm, và phần lớn khối lượng flash loan trong năm 2026 là các hoạt động chênh lệch giá và tái cấp vốn thông thường giúp duy trì sự cân bằng giá cả của DeFi. Các cuộc tấn công mới gây chú ý trên các phương tiện truyền thông, nhưng khối lượng giao dịch đến từ những người tìm kiếm giải pháp giúp thị trường hoạt động hiệu quả.

Mặt khác, bất kỳ giao thức nào đọc giá cả, số dư hoặc ngưỡng bỏ phiếu theo cách có thể bị thao túng trong một khối duy nhất cuối cùng cũng sẽ bị thử nghiệm bởi một khoản vay chớp nhoáng. Phản ứng đúng đắn không phải là cấm các khoản vay chớp nhoáng (điều này là không thể). Mà là xây dựng các giao thức vẫn hoạt động chính xác ngay cả khi kẻ tấn công tạm thời kiểm soát một tỷ đô la. Các oracle TWAP, nguồn cấp dữ liệu Chainlink, khóa thời gian quản trị và kiểm thử bất biến không còn là tùy chọn nữa. Chúng là chi phí để vận hành trên một chuỗi khối nơi tồn tại các khoản vay chớp nhoáng.

Marco Lucchetti

Marco Lucchetti is a senior content strategist and blockchain analyst at Plisio. With over 7 years of experience in cryptocurrency research, DeFi protocols, and payment technologies, Marco specializes in creating clear, data-driven content for a global crypto audience. His work focuses on transaction tracing, crypto compliance, and the future of blockchain infrastructure.