Mi az a flash loan? Fedezet nélküli kölcsön egy tranzakción belül

A flash loan (magyarul néha villámkölcsönnek is hívják) olyan kölcsön, amelyet egy okos szerződés vesz fel, használ fel és fizet vissza díjjal együtt, mindezt egyetlen tranzakción belül a blokkláncon. A tranzakció atomikus: vagy minden lépése sikerül, vagy a lánc úgy kezeli, mintha meg sem történt volna.

Ezért nincs szükség fedezetre. A hagyományos kriptós hitelnél a fedezet védi a hitelezőt, ha a felvevő nem fizet. A flash loannál ez a helyzet elő sem állhat, mert ha a pénz a tranzakció végén nincs vissza, az egész művelet érvényét veszti, és a kölcsön sosem hagyta el a hitelező szerződését.

Az ötletet 2018-ban a Marble nevű nyílt forráskódú projekt vezette be, ismertté pedig az Aave hitelezési protokoll tette, amely 2020 januárjában indította el a saját flash loanját. Ma három fő felhasználása van:

• Arbitrázs: ha egy token az egyik decentralizált tőzsdén olcsóbb, mint a másikon, a kölcsön adja a tőkét az árkülönbözet kihasználásához.
• Fedezetcsere: egy meglévő hitel fedezetét vagy adósságát cseréled le anélkül, hogy előbb ki kellene fizetned a hitelt.
• Hitel lezárása a saját fedezetből: a pozíciót te zárod le, mielőtt egy likvidátor büntetéssel tenné meg.

Egy flash loan a háttérben négy lépésből áll, és mind a négy ugyanabban a tranzakcióban, egyetlen blokkon belül fut le:

1. Felvétel: a felvevő okos szerződése kéri a kölcsönt a protokolltól, például az Aave-től vagy a Balancertől.
2. Felhasználás: a szerződés a kapott összeggel végrehajtja a saját logikáját (csere, egy hitel visszafizetése, likvidáció).
3. Visszafizetés: a kölcsön és a díj visszamegy a protokollhoz.
4. Ellenőrzés: ha a tartozás nincs meg, a tranzakció visszagördül, és minden lépés semmissé válik.

A díj protokollonként más. Az Aave V3 Ethereumon futó piacán 2026 októberében 0,05 százalék, vagyis egy 1 millió dolláros kölcsönért 500 dollár, gázdíj nélkül. A gázdíj a blokklánc hálózati költsége, amelyet minden tranzakció után fizetni kell. A Balancer V2 díja nulla, a Uniswap v2 úgynevezett flash swapja 0,30 százalékot kér, ami megegyezik a kereskedési díjjal. Az Aave díját közösségi szavazással lehet módosítani.

Kell hozzá programozni tudni? Alapesetben igen, mert a lépéseket okos szerződés hajtja végre. Vannak viszont felületek, például a DeFi Saver, amelyek a háttérben flash loannal végzik el a fedezetcserét vagy a hitel visszafizetését, így a felhasználónak nem kell kódot írnia.

A flash loan maga nem hiba, csak eszköz, amely tőkét ad annak, akinek nincs. A támadó ezzel a tőkével egy rosszul megírt protokoll gyenge pontját használja ki, majd ugyanabban a tranzakcióban visszafizeti a kölcsönt. A három jellemző minta:

• Ármanipuláció: a támadó egy kis likviditású pool (közös tőkekészlet) árát rövid időre eltorzítja, és a protokoll, amely ebből az egy pool azonnali árából számol, a torz áron fizet neki.
• Szavazati erő kölcsönzése: a Beanstalk elleni 2022. áprilisi támadásban a kölcsönzött tőke szavazati jogot adott, a támadó megszavazta a saját javaslatát, és a protokoll kb. 181 millió dollárt vesztett.
• Logikai hiba kihasználása: az Euler Finance 2023. március 13-án egy hibás függvény miatt kb. 197 millió dollárt vesztett. Az Euler közlése szerint a támadó 2023 áprilisában visszaadta a visszaszerezhető összeget.

Az első ismert esetek 2020 februárjában a bZx protokollt érték, egy friss eset pedig a Sui blokkláncon futó Cetus 2025. május 22-i, kb. 223 millió dolláros kára. Ott a fő hiba egy hibás túlcsordulásvizsgálat volt, a flash swap csak az ár mozgatásához kellett, a pénz nagy részét pedig a Sui validatorai befagyasztották.

A jó hír, hogy a protokollok megtanulták a leckét: jobb árfolyamforrások, auditok és hibavadász programok jöttek. Az Immunefi jelentése szerint a flash loannal végrehajtott támadások a DeFi-ben elszenvedett veszteségek 54 százalékát adták 2020-ban, 2025-re viszont arányuk 1 százalék alá esett.

A legtöbb befektető flash loant soha nem vesz fel közvetlenül, de az a protokoll, amelybe pénzt tesz, célpont lehet. Az uniós kriptoeszköz-piaci rendelet (MiCA) preambuluma szerint a teljes mértékben decentralizált módon, közvetítő nélkül nyújtott szolgáltatások nem tartozhatnak a rendelet hatálya alá. Ezeknél ezért jellemzően nincs uniós engedélyezés és felügyeleti védőháló, a választás felelőssége a tiéd, és ezt öt kérdéssel jól le lehet szűkíteni:

1. Van nyilvános audit, és ki végezte? Az audit nem garancia (az Euler is auditált volt), de a hiánya figyelmeztető jel.
2. Honnan veszi az árfolyamot? Ha a protokoll több forrásból összesített árat használ, például a Chainlink árfolyamszolgáltatásán át, vagy hosszabb időre átlagolt árat (TWAP), az drágábbá teszi a manipulációt, mint egyetlen pool azonnali ára.
3. Van hibavadász program? A jutalom arra ösztönzi a kutatókat, hogy jelentsék a hibát, ne pedig kihasználják.
4. Volt már incidense? A rekt.news nyilvántartja a nagyobb támadásokat.
5. Mióta működik stabilan? Egy régóta működő, nagy értéket kezelő protokollt már több támadás érhetett, és kiállta őket.

Ingyen pénz sincs. A flash loanos arbitrázshoz nem kell tőke, de a megtalált árkülönbözetért profi robotok versenyeznek. Aki lemarad, annak a tranzakciója visszagördül, a gázdíjat viszont ilyenkor is kifizeti.

Ha egy videó vagy közösségi poszt kész „flash loan arbitrázsrobotot” ajánl, amelybe előbb pénzt kell küldened, az csalás. Hasonló mintát dokumentáltak a SentinelLABS kutatói: az arbitrázsrobotnak hirdetett, YouTube-on terjesztett szerződések a beküldött összeget a csaló tárcájába utalták, egyetlen címen kb. 902 000 dollárnyi ETH gyűlt így össze.

A leggyakoribb mintákat a DeFi-csalásokról szóló útmutatónk sorolja fel.