2020年11月，DeFi领域发生了多起闪电贷攻击，去中心化金融的风险问题又一次摆上了投资者的案头。
所谓闪电贷攻击是指利用借贷平台的预言机缺陷，利用闪电贷合约无利息、无抵押地套取大量虚拟资产引起虚拟资产价格异常波动，并从中套利的手段。闪电贷攻击往往包含如下几步：
1、 利用闪电贷合约借入大量A资产。
2、 将A资产在去中心化交易所换成B，压低A资产的价格。
3、 在预言机有缺陷的借贷项目M中存入B作为抵押品。
4、 从M中以异常的A价格，借出A。
5、 将借出的A归还闪电贷合约，剩余的部分就是利润。
在当前30年美国国债利率不及1.6%的市场环境下，Curve，Aave，以及Compound
给出的美元稳定币年化利率却普遍高于3.5%！这种利差不是用反洗钱（AML）或者知晓用户（KYC）等合规理由或者投资门槛等理由能够解释清楚的。闪电贷攻击所暴露出来的风险，不仅仅局限于闪电贷领域。它暴露的是乐高积木式的DeFi项目的风险痼疾：模块化的项目、无止境的堆叠与合约逻辑的冲突。
闪电贷的理念起源于2018年的Marble。该业务可以提高资产的流动性，立意是非常契合金融需要的，但是与其他业务组合起来竟然不断导致项目的漏洞。这点正是说明了金融创新与金融风险共存的特点。
收益与风险不对等+开方式的接入有可能引发DeFi的崩溃。传统金融存在整体的风控体系，每一个新业务的设立都需要风控管理层通盘考虑。相比之下，如今的模块化开发虽然让人人都可以参与金融业务的创新，但是风险却是各自项目独自承担。闪电贷的智能合约无需为了抵押借贷项目的亏损而伤脑筋。因此，有利于自身的合约迭代无需通知合作方。甚至，当前的各种业务是由交易者自由组织，无准入的进出：不同项目相互间根本谈不上合作方！这样的组织结构无法回避相互间的冲突。
类似像闪电贷攻击一样的合约冲突必然会在未来给更多的新老项目带来难以回避的风险。DeFi市场中的利率也从另一个侧面作证着潜在的风险。去中心不一定必然产生信用！