閃電貸攻擊

閃電貸攻擊利用一筆在同一交易內借入並還清的無抵押貸款，賦予攻擊者龐大而短暫的資本，用以撥彎某個協議。閃電貸本身是合法的 DeFi 原語：因為若貸款在交易結束前未還清、整筆交易便回滾，放款方毫無風險。但同樣的原子性，把數百萬美元交到一個平時資本不足的攻擊者手中、僅僅幾毫秒，而這恰好足以壓垮任何在安全假設裡暗自認定「沒有單一行為者能一次調動這麼多錢」的機制。

重點是，閃電貸本身鮮少是漏洞，它是把潛在弱點放大成災難的放大器。經典的串連是：借入巨額，用它操縱即時價格預言機、或取得某治理代幣的暫時多數，利用一個信任這個被操縱狀態的合約，取走利潤，再還清貸款，全部原子性地完成，攻擊者只冒了 gas 的風險。沒有這筆貸款，同樣的漏洞或許需要數千萬的真實資本，因而無人利用；有了它，攻擊幾乎免費。

因此，防禦閃電貸攻擊意味著拆掉「資本稀缺」這個底層假設。別用可即時撥動的即時來源為資產定價，改用 TWAP 或去中心化饋送。把治理投票權建立在過去某區塊快照下的餘額、而非當下區塊的餘額之上，如此閃電借來的代幣便不具份量。更廣義地說，把每一個機制都設計成即使某行為者暫時掌控無上限的金錢仍然安全，因為在鏈上、在一筆交易的長度內，他們確實可以。