要求提供链上证明，以证明用户的先前余额并没有因为闪贷而改变
闪贷使得成本酿成真正的商品。这种竞争不行制止地会导致零用度或微不敷道的象征性用度。dYdX当前对闪贷收取零用度。另一方面，AAVE对闪贷收取本金0.09%的用度。我猜疑这是不行一连的，确实，他们社区中的一些人号令将用度消减至零。（请留意，这两次进攻都没有利用AAVE作为他们的闪贷池）
请留意，闪贷答允你在单个生意业务时间段内借入资金。假如你需要一个成本麋集型生意业务超过两个区块，那么，用户必需取出至少两个区块的贷款，由此击败任何闪贷进攻。（留意：为此，用户必需将其资产锁定在两个区块之间，以防备他们送还贷款。假如你没有正确地思量设计，则用户大概只是在这两个区块中实施闪贷进攻）
可是，我们认可以太坊自身也大概会蒙受51%的进攻，当前的进攻本钱是每小时不到20万美元。这不算很是多的资金。假如以太坊自身的安详模子都根基上是构建在成本限制上，那么，为什么我们要如此快地去讥笑可以被1000万美元乐成进攻的DeFi应用？（明晰地说，我不认为这些数字——这一数字利便地忽略了滑点和供给不敷——加上共鸣层安详和应用层安详是两码事。但你大白这个意思。）
在用户与你的协议交互之前，你要求提供可以证明之前区块末端的Merkle证明，他们有足够的余额来表明他们当前利用的资金。你需要对每个区块上的每位用户跟踪这一点。（Ari Juels向我概述了此要领）
本日是如此。将来不必然永远如此。
什么是闪贷
闪贷无法收取传统意义上的利钱，因为这种贷款有效期为零（任何APR*0=0）。虽然，假如闪贷放贷人收取更高的用度，他们很容易就被其他收取较低利率的闪贷池所逾越。
另一方面，在AAVE上乞贷耗费80kgas本钱，且收取本金0.09%的用度，这对竞争微薄差额的套利者来说，支付的价值很高。实际上，在大大都AAVE的套利中，借钱人最终向借贷池付出的用度高于他们套利赚取的收益。
在某种意义上，这意味着成为闪贷的放贷人没有本钱。这长短常反直觉的。那么，平衡时的闪贷本钱应该是几多？（蓝狐条记：这里说的平衡时，是指颠末充实竞争且成长成熟稳按时）
用一句话来总结，这些进攻很是“富丽”。每次进攻中，进攻者不消耗费一分钱当即借到数十万美元的ETH，然后通过一系列懦弱的链上协议，赚取数十万被盗资金，最后偿还借来的数额庞大的ETH贷款。所有这些都是瞬间产生的。也就是说，在单个生意业务中完成。
有了闪贷，进攻者不再需要有好处参加个中。（蓝狐条记：也就是说，粉碎系统不会影响进攻者的自身好处，因为进攻者没有好处相关）。闪贷实质上改变了进攻者的风险。请记着，闪贷可以累积！受制于gas limit，实际上，你可以在单个生意业务中（最高可达5000万美元 ）汇聚各个闪贷池，并将所有资金会合涌入一个懦弱的合约中。这是一个5000万美元的攻城锤，此刻任何人都可以猛击任何链上的彩陶罐。这实在可怕。而闪贷差异。从字面意义上说，闪贷没有风险，且没有时机本钱。这是因为借钱人在其闪贷期间“冻结了时间”，因此，在其他人眼中，系统的成本从未有风险且无承担，它也无法在其它处所赚取利钱（即，它没有时机本钱）。
他们为什么不呢？
当真地说，试图让借贷池遏制提供闪贷就像是试图遏制噪音污染——这是典范的公地悲剧。提供闪贷切合每个协议的自身好处，且出于公道原因，它们的用户也但愿利用这一成果。因此，我们尽可忽视这一条。闪贷并不会消失。
最后，这些事件让我想到的一个陈腐的观念：矿工可提取的代价。矿工可提取的代价是矿工可以从区块链系统中提取的代价。这包罗区块嘉奖和生意业务用度。但它也包罗更多恶意形式的代价提取。譬喻对生意业务从头排序或将恶棍生意业务插入区块。
因此，让我们思考一下这里的经济学。传统的放贷人在两个方面获得赔偿：他们包袱的风险（违约风险和活动性风险），以及他们借出成本的时机本钱（譬喻，假如我能在其他处所得到2%的利钱，那么，借钱人必需向我付出高于2%的无风险用度）。
你大概不太喜欢生意业务所黑名单是如今区块链安详模子的一部门。这长短常黏糊且中心化的。但这是一个重要的现实，它为这些进攻提供演算信息。
据我预计，闪贷进攻给我们一个小的但有用的提醒，那就是此刻还很早期。我们还远没拥有可一连的架构，一个可为将来金融系统构建的架构。
闪贷减轻了这两种风险。闪贷根基上是这样运作的：我在单个生意业务中借给你想要数额的钱。可是，在这笔生意业务竣事之前，你必需至少送还我借给你的钱。假如你无法执行此操纵，我会自动回滚你的生意业务。是的，智能合约可以做到这一点。
根基上，闪贷应该是免费的。可能更得当的做法是，付出小额用度，以分摊包罗使得资产可实现闪贷的特别三行代码的本钱。从久远看，除非环境非凡，不然套利者不太大概利用闪贷举办套利。但闪贷在DeFi中存在其他更引人注目标用例。个中一个例子是贷款再融资。譬喻，假设我有一个Maker小金库（蓝狐条记：也就是抵押债务头寸），个中锁定了100美元的ETH，我从中借出了40 DAI的贷款，也就是说，撤除债务，我尚有60美元的净头寸。此刻，假设我想在Compound再融资以得到更好的利钱。凡是，我需要回购40 Dai来封锁我的CDP，这需要一些前期资金。而此刻的可替代要领是，我可以通过闪贷借出40 Dai，封锁100美元的CDP，然后将解锁的代价60美元的ETH存入Compound，通过Uniswap将剩余的代价40美元的ETH换成Dai，然后用它送还闪贷。Boom！原子性的0成本再融资。
今朝，闪贷会是新常态。也许从恒久看，所有以太坊上的资产都可用于闪贷：生意业务所持有的所有抵押品，Uniswap中的所有抵押品，也许所有ERC-20代币自己。
抱负环境下，假如管理代币不行用来闪贷，这就很好。可是，这不取决于代币的刊行方，而是取决于市场。因此，所有管理行为应该要求锁定，以防备闪贷进攻。Compound的新COMP代币更进一步，它对所有协议投票都要求基于时间的加权，甚至减弱针对其管理代币的通例贷款进攻。
在bZx进攻之后，被闪贷进攻就像是在DAO进攻后被重入进攻一样令人难过：你不会获得人们的同情。你应该相识这一点。
EVM并不答允你从任何其他合约中读取存储。因此，假如你想知道其他合约正在产生什么，则可以通过该合约汇报你。因此，假如你想知道是否闪贷合约在被利用，你必需直接询问合约。如今，许多借贷协议并没有对这种查询做出响应（并且一般来说，也没有步伐强迫闪贷借贷者的行为）。别的，即便你试图查抄，通过利用署理合约或通过串联闪贷池也容易误导此类查询。简朴来说，凡是很难分辨一个存储用户是否在利用闪贷。
闪贷对进攻者尤其有吸引力的主要原因有两个：
假如能有要领检测出用户真实的余额几多（也就是他们得到借钱之前的余额），我们就可以击败闪贷进攻。
简言之，假如有人拿着1000万美元敲你合约的前门，你无法判定这是否是他们本身的钱。那么，我们有什么真正的选择可以防备闪贷进攻？我们可以思量如下几种要领。
我相信bZx进攻改变了这一切。
这是因为大大都套利都由运行巨大呆板人的竞争套利人执行。他们从事链上优先gas拍卖，并利用gas代币来优化生意业务用度。这长短常有竞争力的市场，这些人很是乐意在其资产欠债表上保存一些代币，以优化其收益。
在平衡状态下，所有闪贷进攻应该最终会被矿工提取。（请留意，他们也应该会最终窃取所有链上套利和清算）具有嘲讽意味的是，这会阻止闪贷进攻的产生，既然它会导致进攻者无法操作这些裂痕来赢利。或者最后矿工会通过私人渠道征集进攻代码，并向潜在的进攻者付出发明者用度。从技能上讲，可以利用零常识证明无须信任地完成此类操纵。
闪贷进攻对安详性有重大影响
为了让这些系统大局限运行，你需要最终性——让矿工无法重写已确认的区块。这将掩护先前区块的生意业务免遭从头分派。另外，假如DeFi协议存在于单独的ETH2.0分片中，它们不容易遭到闪贷进攻。
传统的贷方包袱两种形式的风险。首先是违约风险：假如借钱人卷款跑了，很糟糕。贷方的第二个风险是活动性不敷的风险：假如贷方在错误时间贷出太多资产，可能没有实时收回还款，贷方大概会心外地缺乏活动性，且无法推行其义务。
这不会是最后一次闪贷进攻。第二次bZx进攻是对第一次的仿照，并且我猜疑在将来几个月会掀起一波进攻海潮。此刻，来自世界最遥远角落的成千上万名智慧少年正在讥笑所有这些DeFi乐高，他们在显微镜下调查，试图发明可以实施闪贷进攻的要领。假如他们设法乐成操作裂痕，那么，他们就可以赚取几十万美元，这活着界上的大部门地域都是可以明明改变糊口的。
我越来越相信，闪贷真正解锁的是闪贷进攻，一种由闪贷提供资金的成本麋集型进攻。在最近的bZx进攻事件中，我们第一次看到这一现象，而我猜疑这只是冰山一角。
许多开拓者对异步智能合约操纵感想烦恼，譬喻，与layer 2的交互，以及以太坊2.0的跨分片通信。具有嘲讽意味的是，异步其实让这些系统在应对闪贷时更安详，因为你无法在单个原子生意业务中凌驾分片或layer 2。这意味着不会有跨ETH2.0分片或在layer 2针对DEX的闪贷进攻。
那么，如何减轻闪贷进攻？
· 闪贷可以最小化进攻者的污点。假如我有个用1000万美元ETH哄骗预言机的想法，即即是我拥有这么多ETH，我也大概不会用本身的成本举办冒险。我的ETH将会有污点，生意业务所大概会拒绝我的存入，且它很难洗白。这有风险。不外，假如我借来1000万美元的ETH，那么，谁会在乎呢？全都是长处。dYdX抵押池不太大概会被认为有污点，因为这是我贷款的来历——dYdX的污点只会消失。
对付像Uniswap或OasisDEX这样的基于市场的价值预言机，闪贷进攻使得你在任何环境下都不能将当前的中间市场价值用作为预言机。对付进攻者来说，在单个生意业务中移动中间市场价值并制造闪崩、粉碎价值预言机，这是孩子的玩法。
媒介：bZx事件产生之后，加密社区开始重视闪贷进攻。本文作者Haseeb认为闪贷用于套利不是其最大的用例，它最大的用例在于释放了闪贷进攻。闪贷进攻无法消失，且很难阻止。有些阻止进攻的法子看似公道，但本钱很高，不切实际。而当前改造主要会合在价值预言机和管理代币机制上。好比价值回收通过TWAP或VWAP利用最后X个区块的加权平均值的机制。管理代币回收时间锁机制等。另外，假如闪贷进攻的好处足够高，矿工也大概会参加作恶。总之，面对闪贷进攻，DeFi还需要更好的应对。本文由“蓝狐条记”的“SoFa”翻译。
显然，这会带来庞大的UX衡量：它意味着生意业务不再是同步的。它对普通用户来说极其糟糕，这是很难下刻意采纳的法子。（蓝狐条记：为了防备闪贷进攻，导致用户体验糟糕，显然是下策）
闪贷有何用处？
简言之，你的闪贷具有原子性：假如你无法送还贷款，整个工作就会还原，就像是借贷从未产生过一样。这样的工作只能产生在。譬喻，你无法在BitMEX上闪贷。这是因为智能合约平台一次只能处理惩罚单个生意业务，因此，在单个生意业务产生的所有工作都是作为批处理惩罚按序次执行。你可以将其看作为生意业务执行期间的“冻结时间”。另一方面，中心化生意业务所大概会呈现竞争状况，乃至于你的订单无法推行。在区块链上，可以确保的是，你的所有代码都是按序次运行。
简直如此——就生意业务量来说，迄今为止，大大都闪贷都用于此类套利。
从久远看，这一切意味着什么？
强制要害生意业务跨两个区块举办
怎么大概有零风险的贷款？
更遍及地说，所有管理代币必需有时间锁。时间锁要求所有管理抉择必需期待一段时间才气生效（Compound的时间锁是两天）。这使得系统可以从任何料想之外的管理进攻中规复。尽量MKR还无法被大量闪贷，MakerDAO最近因为易受此类进攻而被招呼实施法子。它最近实施了24小时的时间锁，封锁了此类进攻向量。
在的白皮书中，中本聪宣称比特币有免遭进攻的安详，因为：“进攻者应该会发明，遵守法则…比粉碎系统和其财产的有效性更有利可图。”
无法在EVM中当地执行此操纵，不外，你可以做点带有黑客意味的工作。这就是你要做的：
郑重声明：本文版权归原作者所有，转载文章仅为传播更多信息之目的，如作者信息标记有误，请第一时间联系我们修改或删除，多谢。
