플래시 론

1.개요#

플래시 론은 담보 없이 빌리고 같은 거래 안에서 갚는 대출이다. 여느 대출과 갈리는 지점은 기한이다. 하루나 한 달이 아니라 거래 하나가 끝나기 전까지다.

떼일 걱정이 없는 까닭은 신용을 보지 않기 때문이다. 스마트 컨트랙트가 거래 끝에 원금과 수수료가 돌아왔는지 확인하고, 돌아오지 않았으면 그 거래에서 일어난 일을 전부 되돌린다. 빌린 적도 없는 상태로 돌아가므로 빌려준 쪽의 잔고는 그대로다. 아베는 이 성질을 '한 블록 안에서 빌리는 것'이라 적는다.

아베 v3 는 빌린 금액의 0.05% 를 수수료로 받고, 이 비율은 거버넌스 투표로 바꿀 수 있다. 수수료는 자금을 대 둔 유동성 공급자에게 돌아간다.

2.무엇에 쓰나#

밑돈 없이 큰 금액을 잠깐 굴릴 수 있어 세 가지에 주로 쓰인다. 첫째는 차익거래다. 두 탈중앙화 거래소의 값이 어긋나 있을 때 싼 쪽에서 사서 비싼 쪽에 팔고 빌린 것을 갚는다. 둘째는 담보 교체다. 대출을 유지한 채 담보만 다른 자산으로 바꾼다. 셋째는 청산이다. 남의 담보를 대신 청산하고 보상을 받는다.

정상적인 쓰임과 공격이 같은 도구를 쓴다. 공격자는 빌린 큰 금액으로 유동성이 얕은 시장의 값을 순간적으로 밀어 올리거나 내린 뒤, 그 값을 그대로 믿는 오라클을 참조하는 다른 계약에서 이득을 챙긴다. 밑돈이 필요 없으므로 공격의 문턱도 같이 낮아졌다.

3.사건#

2020년 2월 bZx 에서 두 차례 공격이 났다. 빌린 자금으로 값을 흔들어 프로토콜이 참조하는 값을 비틀은 수법이었고, 이 일로 플래시 론이 공격 도구로 쓰인다는 것이 널리 알려졌다.

규모가 가장 컸던 것은 2023년 3월 13일 오일러 파이낸스다. 약 1억 9,700만 달러가 빠져나갔다. 이 공격은 값을 흔든 것이 아니라 대출 계약이 잔고를 계산하는 방식의 허점을 파고든 것이었다. 공격자는 3월 18일부터 자금을 돌려보내기 시작했고 4월까지 1억 7,700만 달러가 넘게 되돌아왔다.

되돌릴 수 있다는 성질은 빌려준 쪽만 지켜 준다. 값이 흔들려 손해를 본 제3자는 그 보호를 받지 못한다.