Qué es un ataque de “préstamo rápido” en las plataformas de finanzas descentralizadas

Un Flash Loan refiere a un tipo de préstamo en el ecosistema de las finanzas descentralizadas (DeFi) que utiliza red  blockchain . Estos préstamos ofrecen fondos a los usuarios sin que estos necesiten aportar una garantía. Desde ESET, compañía líder en detección proactiva de amenazas, explican que en el último tiempo este tipo de préstamos ha tenido gran auge dado que los protocolos  DeFi otorgan a los usuarios fondos para que estos puedan utilizarlos y devolverlos en una misma operación incluyendo, por supuesto, las comisiones correspondientes.

“Si bien con un préstamo de estas características no se podría acceder a la compra de un automóvil u otros bienes, son muy utilizados para realizar distintas actividades en el ecosistema cripto, como swapping colateral, trading de arbitraje, ahorro de tarifas de transacción y refinanciamiento de deuda, entre otros.”, menciona Mario Micucci, Investigador de Seguridad Informática de ESET Latinoamérica.

¿Cómo funcionan los Flash Loans?

Si bien alrededor de estos préstamos intervienen diversos conceptos, en gran medida estos pueden llevarse a cabo debido al uso de una red blockchain. Gracias a esta tecnología es posible programar una transacción para que tome los fondos prestados, los movilice por distintos contratos inteligentes de otros protocolos, se realicen las operaciones de intercambio pertinentes, y al final de esa misma transacción el dinero del préstamo y sus comisiones sean reintegrados al protocolo inicial mientras el usuario se retira con sus ganancias.

Lo más relevante de este proceso es que todos estos movimientos se realizan en una única operación de forma instantánea y todo queda registrado en un mismo bloque de la blockchain, otorgando el beneficio a los usuarios de mantener la liquidez en su protocolo para las operaciones regulares (préstamos e intercambios) y permitiendo un nuevo modelo de préstamos que no afecten la liquidez real de su protocolo DeFi.

¿Qué es un ataque de Flash Loan?

Según ESET, respecto a los ataques más comunes apuntando a estos préstamos rápidos, el principal punto está en el abuso de la seguridad de los contratos inteligentes de una plataforma. En este sentido, un atacante puede solicitar fondos que no requieren garantía y más tarde manipular el precio de un criptoactivo en una plataforma de intercambio y revenderlo rápidamente en otra.

Los Flash Loans permiten a los usuarios tomar prestamos por grandes cantidades de activos de un fondo común de liquidez en una blockchain. Fondos que se deben devolver dentro de la misma transacción.

Pero entorno a este proceso, uno de los problemas que se plantea es que esos activos pueden utilizarse para manipular el mercado con una gran operación. Al utilizar protocolos de exchanges descentralizados (DEX) que funcionan como el único oráculo de precios del protocolo, los riesgos aumentan, ya que los atacantes solo tienen que conseguir un préstamo flash en un token y canjearlo por otro en el DEX alterando así ambos precios: uno sube y el otro baja. Luego, van a su protocolo de destino y usan el segundo token para pedir prestada una cantidad aún mayor del primer token, pudiendo pagar su préstamo y embolsando la diferencia a fin de esperar que el mercado corrija el precio manipulado.

Para tomar dimensión del atractivo que representan las finanzas descentralizada para los cibercriminales, de 2020 a esta parte se reportaron unos 125 exploits utilizados para abusar de vulnerabilidades en el ecosistema de las finanzas descentralizadas que provocaron pérdidas por aproximadamente 3.900 millones de dólares.