2026年前五个月DeFi各类漏洞攻击累计损失已超6亿美元，闪电贷是主要攻击手段之一。从几十万到数亿美元，闪电贷攻击的规模、复杂度和隐蔽性都在升级。本文复盘2025到2026年五个典型案例，拆解攻击链条和漏洞利用逻辑。

闪电贷到底是什么？先把工具看清楚

闪电贷是智能合约提供的一种借贷功能，用户可以在同一笔区块交易内借入巨额资金，无需任何抵押物，唯一条件是借款、使用、偿还本息必须在同一个交易内完成，否则智能合约自动回滚一切从头来过。这项工具本身是合法创新，为套利者提供了前所未有的资本效率。但攻击者可以在零本金风险的情况下瞬间调动千万级资金操纵市场、击穿协议风控。Halborn的说法很准确：闪电贷不是漏洞，而是放大器——轻微的编程错误或预言机设计缺陷，都能被放大成数百万美元的重大事故。

2025-2026年攻击案一览

Venus Protocol：同一条鱼被咬了两次

2025年3月那次相对简单，黑客用闪电贷操纵wUSDM预言机汇率，导致Venus损失约70万美元。2026年初那次攻击路线复杂得多。攻击者从2025年6月开始在二级市场慢慢吸筹THE代币，到攻击前已控制了约84%的协议THE供应上限（约1450万枚）。然后把积累的THE直接转入协议合约绕过供应限制，创建了5320万THE的抵押头寸，是允许限额的3.7倍。随后以虚假高价抵押从Venus池中抽走约20个BTCB、150万枚CAKE、200个BNB和158万枚USDC。退出后抛售THE使价格回落到0.22美元，在Venus留下约215万美元坏账。整个攻击可能还用了闪电贷来资助递归购买THE进一步推高价格。暴露的问题很清楚：低流动性代币是价格操纵的首要目标，依赖TWAP预言机的协议更新不够快时套利窗口就会被利用。

Yearn：900万美元是怎么被一步步掏空的

2025年12月Yearn遭遇的是多阶段组合攻击，不是单一漏洞利用。攻击者通过闪电贷从Balancer和Aave借出wstETH、rETH、WETH等多种LST资产，通过混币器把ETH洗白到恶意合约，再把闪电贷资产兑换成大量yETH加权稳定池的LP代币，通过remove_liquidity函数提取8种底层资产。最后反复调用addLiquidity注入单边池子，利用逻辑缺陷无限增发LP代币从池中抽走真实资产。四个环节环环相扣，复合型漏洞审计根本覆盖不了所有组合爆炸的可能性。

Shibarium：闪电贷加上验证者控制，跨链桥也扛不住

这次攻击是闪电贷与验证者控制的组合拳。攻击者先通过闪电贷借入460万枚BONE（Shibarium治理代币），同时拿到了12个验证者签名密钥中的10个，掌握了超过三分之二的多数控制权。然后利用特权从跨链桥合约中提取了约224.57枚ETH和926亿枚SHIB，价值约240万美元。Shibarium团队反应很快，迅速暂停网络质押和解押功能，冻结被借出的BONE代币，K9 Finance DAO直接把攻击者地址列入黑名单防止抛售。DAO层面的黑名单干预虽然快速但中心化程度高，和DeFi无需许可的核心理念形成冲突。

Euler Finance：1.97亿美元，一个函数的疏忽

DeFi史上规模最大的闪电贷攻击之一。核心漏洞在于Euler的donateToReserves函数缺少必要的流动性检查，而其他关键函数比如mint都执行了checkLiquidity操作，唯独这个被遗漏了。攻击路径是先闪电贷借入3000万DAI，质押2000万到Euler获得19.5万个eDAI，用10倍杠杆借出195.6万个eDAI和200万个dDAI，反复操作后调用donateToReserves捐赠了10倍于偿还金额的资金，立即执行清算通过软清算自己套利出剩余资金。一个函数缺乏检查，半年多的审计成果几十分钟内被击穿。

2026年新变种：已弃用合约成了新靶子

2026年4月Sui上的Scallop Protocol被攻击，目标是2023年11月部署的一个已弃用V2奖励合约。该合约中关键变量last_index从未被初始化，攻击者质押13.6万枚sSUI后错误获得了1.62亿亿点数的信用，从奖励池中掏空15万枚SUI约14万美元。2026年4月的12起重大漏洞攻击累计损失超6亿美元，攻击者越来越多地瞄准已弃用合约和基础设施层。旧合约不上锁、关键变量不初始化，项目更迭后遗留的代码坟场正在成为攻击者的新金矿。

漏洞模式与防御思路速查

Euler的攻击说明被审计过了从来不等于绝对安全，Yearn的攻击说明边界的组合远比常规路径危险，Venus的案例说明低流动性代币加缓慢的预言机更新速度就是为攻击预留的通道。协议采用TWAP时，评估代币的实时波动性和锁仓量，低于安全阈值的资产不该纳入抵押品清单。这是2026年市场用6亿美元换来的共识。

免责声明：本文仅为闪电贷攻击案例复盘与安全趋势讨论，不构成投资建议。操作自负。

2026年前五个月DeFi各类漏洞攻击累计损失已超6亿美元，闪电贷是主要攻击手段之一。从几十万到数亿美元，闪电贷攻击的规模、复杂度和隐蔽性都在升级。本文复盘2025到2026年五个典型案例，拆解攻击链条和漏洞利用逻辑。

闪电贷到底是什么？先把工具看清楚

闪电贷是智能合约提供的一种借贷功能，用户可以在同一笔区块交易内借入巨额资金，无需任何抵押物，唯一条件是借款、使用、偿还本息必须在同一个交易内完成，否则智能合约自动回滚一切从头来过。这项工具本身是合法创新，为套利者提供了前所未有的资本效率。但攻击者可以在零本金风险的情况下瞬间调动千万级资金操纵市场、击穿协议风控。Halborn的说法很准确：闪电贷不是漏洞，而是放大器——轻微的编程错误或预言机设计缺陷，都能被放大成数百万美元的重大事故。

2025-2026年攻击案一览

Venus Protocol：同一条鱼被咬了两次

2025年3月那次相对简单，黑客用闪电贷操纵wUSDM预言机汇率，导致Venus损失约70万美元。2026年初那次攻击路线复杂得多。攻击者从2025年6月开始在二级市场慢慢吸筹THE代币，到攻击前已控制了约84%的协议THE供应上限（约1450万枚）。然后把积累的THE直接转入协议合约绕过供应限制，创建了5320万THE的抵押头寸，是允许限额的3.7倍。随后以虚假高价抵押从Venus池中抽走约20个BTCB、150万枚CAKE、200个BNB和158万枚USDC。退出后抛售THE使价格回落到0.22美元，在Venus留下约215万美元坏账。整个攻击可能还用了闪电贷来资助递归购买THE进一步推高价格。暴露的问题很清楚：低流动性代币是价格操纵的首要目标，依赖TWAP预言机的协议更新不够快时套利窗口就会被利用。

Yearn：900万美元是怎么被一步步掏空的

2025年12月Yearn遭遇的是多阶段组合攻击，不是单一漏洞利用。攻击者通过闪电贷从Balancer和Aave借出wstETH、rETH、WETH等多种LST资产，通过混币器把ETH洗白到恶意合约，再把闪电贷资产兑换成大量yETH加权稳定池的LP代币，通过remove_liquidity函数提取8种底层资产。最后反复调用addLiquidity注入单边池子，利用逻辑缺陷无限增发LP代币从池中抽走真实资产。四个环节环环相扣，复合型漏洞审计根本覆盖不了所有组合爆炸的可能性。

Shibarium：闪电贷加上验证者控制，跨链桥也扛不住

这次攻击是闪电贷与验证者控制的组合拳。攻击者先通过闪电贷借入460万枚BONE（Shibarium治理代币），同时拿到了12个验证者签名密钥中的10个，掌握了超过三分之二的多数控制权。然后利用特权从跨链桥合约中提取了约224.57枚ETH和926亿枚SHIB，价值约240万美元。Shibarium团队反应很快，迅速暂停网络质押和解押功能，冻结被借出的BONE代币，K9 Finance DAO直接把攻击者地址列入黑名单防止抛售。DAO层面的黑名单干预虽然快速但中心化程度高，和DeFi无需许可的核心理念形成冲突。

Euler Finance：1.97亿美元，一个函数的疏忽

DeFi史上规模最大的闪电贷攻击之一。核心漏洞在于Euler的donateToReserves函数缺少必要的流动性检查，而其他关键函数比如mint都执行了checkLiquidity操作，唯独这个被遗漏了。攻击路径是先闪电贷借入3000万DAI，质押2000万到Euler获得19.5万个eDAI，用10倍杠杆借出195.6万个eDAI和200万个dDAI，反复操作后调用donateToReserves捐赠了10倍于偿还金额的资金，立即执行清算通过软清算自己套利出剩余资金。一个函数缺乏检查，半年多的审计成果几十分钟内被击穿。

2026年新变种：已弃用合约成了新靶子

2026年4月Sui上的Scallop Protocol被攻击，目标是2023年11月部署的一个已弃用V2奖励合约。该合约中关键变量last_index从未被初始化，攻击者质押13.6万枚sSUI后错误获得了1.62亿亿点数的信用，从奖励池中掏空15万枚SUI约14万美元。2026年4月的12起重大漏洞攻击累计损失超6亿美元，攻击者越来越多地瞄准已弃用合约和基础设施层。旧合约不上锁、关键变量不初始化，项目更迭后遗留的代码坟场正在成为攻击者的新金矿。

漏洞模式与防御思路速查

Euler的攻击说明被审计过了从来不等于绝对安全，Yearn的攻击说明边界的组合远比常规路径危险，Venus的案例说明低流动性代币加缓慢的预言机更新速度就是为攻击预留的通道。协议采用TWAP时，评估代币的实时波动性和锁仓量，低于安全阈值的资产不该纳入抵押品清单。这是2026年市场用6亿美元换来的共识。

免责声明：本文仅为闪电贷攻击案例复盘与安全趋势讨论，不构成投资建议。操作自负。