Alle 08:50:59 UTC del 13 marzo 2023, nel blocco Ethereum 16.817.996, un contratto appena pubblicato ha ricevuto da Aave V2 un flash loan da 30 milioni di DAI, senza versare nemmeno un euro di garanzia. Prima che la stessa transazione si chiudesse, blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il contratto aveva restituito i 30 milioni più una commissione di 27.000 DAI. Nel mezzo aveva usato quel denaro per svuotare uno dei pool di prestito di Euler. Era la prima di una serie di transazioni che, secondo il conteggio di Euler stessa, quel giorno sottrassero al protocollo circa 197 milioni di dollari. Ogni passaggio è ancora leggibile su un block explorer.
Un flash loan è un prestito senza garanzie che va preso e restituito nella stessa transazione, altrimenti la transazione non avviene. Lo stesso strumento si nasconde dietro pulsanti ordinari delle app DeFi: chi clicca «cambia collaterale» su Aave usa un flash loan senza che nessuno glielo dica. Una volta chiaro il percorso del codice, hanno senso sia gli usi leciti sia gli attacchi. Nel caso di Euler, come nella maggior parte degli altri, il prestito ha finanziato l’exploit. Non l’ha causato.
Un avvertimento subito, perché i risultati di ricerca attorno a questo termine sono pieni di trappole. Un flash loan DeFi non è un finanziamento in contanti che si può richiedere, e il denaro non può essere tenuto oltre la fine di una transazione. Chi vende un «software per flash loan», una «app flash loan» che promette di accreditare soldi sul tuo wallet o «flash USDT» che resta nel portafoglio per settimane, vende una truffa. L’ultima sezione spiega come funziona; la nostra guida su come evitare le truffe crypto copre la famiglia più ampia.
Flash loan: cosa sono e perché durano una sola transazione
Una transazione Ethereum è atomica. O tutte le istruzioni al suo interno vanno a buon fine, oppure l’intera transazione viene annullata e la catena resta come se non fosse mai partita, salvo che chi l’ha inviata paga comunque il gas bruciato. Il flash loan poggia su questa proprietà. Chi presta invia i token, lascia girare il codice di chi ha chiesto il prestito e controlla alla fine che il denaro sia tornato con la commissione. Se non è così, è il codice stesso del prestatore a far fallire la transazione, e i token, di fatto, non sono mai stati prestati.
Per questo non servono garanzie. Un normale prestito DeFi, come spiega la nostra lezione su prestiti e lending in crypto, chiede di bloccare più valore di quanto si riceve, perché chi presta si prende il rischio che il debitore sparisca. Con un flash loan il prestatore non corre alcun rischio di credito: chi non restituisce non può andarsene con i fondi, perché senza restituzione il prestito non esiste. La liquidità arriva dagli stessi pool che servono i debitori ordinari: chi deposita in un pool di Aave è, senza fare nulla, il prestatore di ogni flash loan prelevato da quel pool, anche se nel codice attuale di Aave V3 la commissione va alla tesoreria di Aave e non ai depositanti.
Chi prende il prestito non è una persona che compila un modulo. È uno smart contract, un programma pubblicato sulla blockchain, che il prestatore richiama nel mezzo della transazione. Quel contratto gira dentro la transazione, con il solo limite del gas disponibile, e deve fare qualcosa di utile con il denaro (uno scambio, il rimborso di un debito, l’acquisto di una garanzia) e chiudere con abbastanza token per saldare. La lezione precedente, sulle strategie per prendere in prestito contro le crypto, mostrava posizioni costruite in giorni o mesi. Il flash loan è il capo opposto della scala: una posizione che si apre, si usa e si chiude dentro una transazione, quindi dentro un solo blocco Ethereum (uno ogni 12 secondi).
È anche il caso estremo di ciò che nella DeFi si chiama composability, la capacità di un contratto di chiamarne altri in sequenza, trattata nella lezione sulla composability DeFi e i money legos. Un flash loan permette a una sola transazione di toccare un prestatore, due exchange e un protocollo di lending: o passano tutte le chiamate, o non ne passa nessuna.
Flash loan Aave, Morpho, Uniswap: chi li offre e quanto costano
Diversi protocolli prestano in questo modo, con commissioni e callback differenti. La tabella raccoglie i principali, con le commissioni lette nella documentazione o on-chain al 29 ottobre 2026.
| Fornitore | Come si chiama | Callback che il tuo contratto deve implementare | Commissione (29 ottobre 2026 salvo diversa indicazione) |
|---|---|---|---|
| Aave V3 | flashLoan (più asset) o flashLoanSimple (un asset) | executeOperation | 0,05% su Ethereum Core, letta on-chain; azzerata per i borrower approvati in flashLoan |
| Morpho Blue | flashLoan(token, assets, data) | onMorphoFlashLoan | zero |
| Balancer V3 | sblocco transitorio del Vault, poi sendTo e settle | una tua funzione richiamata dal Vault | zero, «senza commissioni per progetto» secondo la documentazione di Balancer |
| Uniswap V2 | swap() con dati non vuoti, un «flash swap» | uniswapV2Call | commissione LP dello 0,3%, circa 0,3009% se si restituisce lo stesso token |
| Prestatori ERC-3156 | flashLoan(receiver, token, amount, data) | onFlashLoan | stabilita da ciascun prestatore |
| Aave V2 (storico) | flashLoan | executeOperation | 0,09% a marzo 2023 (27.000 DAI su 30 milioni) |
Flash loan su Aave V3: flashLoan e flashLoanSimple
Aave è il più grande di questi prestatori per depositi: DefiLlama indicava il valore totale bloccato (staking or liquidity, measured at current market prices. It is the main size metric in DeFi.">TVL) di Aave V3 a 16,26 miliardi di dollari al 29 ottobre 2026. La documentazione sui flash loan dice che la commissione è stata fissata al lancio allo 0,05% e può essere modificata con un voto di governance; il valore memorizzato nel contratto del pool Ethereum Core il 29 ottobre 2026 è 5 punti base, quindi prendere in prestito 1.000.000 di USDC costerebbe 500 USDC (importo di esempio, non un preventivo). Il codice arrotonda il premio per eccesso. La documentazione dice ancora che la commissione può essere divisa tra depositanti e tesoreria, con una quota di protocollo che parte da zero; il codice attuale di Aave V3 (il repository aave-v3-origin) fissa quella quota al 100%, e il pool Ethereum Core ha restituito esattamente quel valore il 29 ottobre 2026, quindi l’intero premio va alla tesoreria di Aave.
Aave ha due punti d’ingresso. flashLoanSimple presta un solo asset, applica sempre la commissione e deve chiudersi con il rimborso completo. flashLoan presta più asset insieme e consente due extra: la commissione è azzerata per gli indirizzi che la governance ha approvato come flash borrower, e chi prende il prestito può chiudere la transazione trasformando l’importo in un normale debito a tasso variabile invece di restituirlo, purché abbia garanzie depositate o credito delegato. In quel caso, nota un commento nel codice, non si paga alcun premio.
Flash loan a commissione zero: Morpho e Balancer
Morpho Blue espone una sola funzione, flashLoan(token, assets, data), e richiama onMorphoFlashLoan nel contratto di chi prende il prestito. La sua documentazione dei contratti dice che il prestito può attingere all’intero saldo del contratto in un token, liquidità e garanzie di tutti i mercati insieme, e che la commissione del flash loan è zero. Morpho non è pienamente conforme a ERC-3156, anche se i suoi documenti descrivono come ottenere la compatibilità. Con 11,19 miliardi di dollari di TVL su DefiLlama al 29 ottobre 2026, è di gran lunga il prestatore a commissione zero più profondo della tabella.
Balancer è stato per anni il prestatore a commissione zero più noto. La sua documentazione sulle commissioni dice che la governance poteva fissare una commissione sui flash loan di V2 ma l’ha sempre lasciata a zero, e che i flash loan di V3, che passano dalla contabilità transitoria del Vault, sono senza commissioni per progetto. Il contratto V3 apre uno stato temporaneo, lascia prelevare i token con sendTo e richiede una chiamata a settle prima della fine della transazione. La profondità oggi è molto minore: DefiLlama mostra Balancer V2 a 17 milioni di dollari e V3 a 15 milioni al 29 ottobre 2026, dopo l’exploit di novembre 2025 descritto più avanti.
Flash swap di Uniswap e standard ERC-3156
I pair di Uniswap V2 fanno qualcosa di simile con un altro nome. Secondo la guida ai flash swap di Uniswap, un pair invia i token in uscita prima di verificare di essere stato pagato. Se chi chiama passa dati non vuoti, il pair richiama uniswapV2Call sul contratto ricevente e alla fine controlla che le sue riserve, dopo la commissione dello 0,3%, siano almeno quelle di prima. Restituire lo stesso token equivale a circa lo 0,3009% dell’importo prelevato. Un pagamento insufficiente annulla l’intero swap.
ERC-3156, uno standard proposto a novembre 2020 e ormai definitivo, dà ai prestatori di flash loan un’interfaccia comune: maxFlashLoan, flashFee e flashLoan lato prestatore, onFlashLoan lato debitore, che deve approvare il rimborso e restituire un hash fisso per dimostrare di aver capito la chiamata. La stablecoin GHO di Aave, per esempio, può essere coniata in flash attraverso questa interfaccia invece di essere presa in prestito da un pool.
Come costruire una transazione atomica passo per passo
Il meccanismo si segue meglio sulla funzione flashLoanSimple di Aave V3, il cui codice è pubblico nel repository aave-v3-origin. Succedono sei cose, tutte dentro una transazione.
- Il tuo wallet chiama flashLoanSimple sul Pool di Aave, indicando il contratto ricevente, l’asset, l’importo ed eventuali parametri che servono al tuo codice.
- Il pool valida la richiesta. Un commento nel codice di Aave spiega che esegue poi il tuo codice prima di aggiornare la propria contabilità, un ordine scelto per proteggersi da reentrancy e manipolazioni dei tassi dentro il payload di chi prende il prestito.
- Il pool trasferisce l’asset al contratto ricevente.
- Il pool chiama executeOperation sul ricevente, passando asset, importo, premio, l’indirizzo che ha avviato il prestito e i tuoi parametri. Qui gira la tua logica: uno scambio, un rimborso, un deposito.
- Il tuo contratto autorizza il pool per l’importo più il premio e restituisce true. Il pool preleva poi da solo il rimborso, invece di aspettare di essere pagato.
- Se il prelievo fallisce, o executeOperation restituisce false, l’intera transazione viene annullata. Sulla blockchain non cambia nulla, tranne il gas che hai speso.
Al passaggio cinque il ricevente non rispedisce i token a mano. Li preleva il pool, quindi conta l’approvazione. Uniswap V2 è diverso, perché controlla le riserve soltanto alla fine.
Il contratto ricevente in breve
Qui sotto la forma di un ricevente, scritta come pseudo-codice per mostrare il flusso. Non è un contratto da pubblicare e non produce alcun profitto.
contract FlashReceiver {
address POOL; // the Aave V3 Pool on your network
address OWNER; // you
// 1. You call this to start the loan
function start(address asset, uint256 amount) external {
require(msg.sender == OWNER);
POOL.flashLoanSimple(address(this), asset, amount, "", 0);
}
// 2. The pool calls this after sending you the tokens
function executeOperation(
address asset, uint256 amount, uint256 premium,
address initiator, bytes calldata params
) external returns (bool) {
require(msg.sender == POOL); // only the real pool
require(initiator == address(this)); // only loans you started
// ... your logic: swap, repay, deposit ...
// at the end you must hold amount + premium of asset
IERC20(asset).approve(POOL, amount + premium);
return true; // the pool now pulls the repayment
}
}Le due righe require in executeOperation sono la parte che si dimentica. Senza la prima, chiunque può chiamare direttamente il tuo callback e far agire il contratto su dati falsi. Senza la seconda, chiunque può avviare un flash loan indicando il tuo contratto come ricevente e fargli pagare premi o eseguire una logica che non hai scelto. La guida di Uniswap dà lo stesso avvertimento per il suo callback: verificare che chi chiama sia un pair autentico.
Provarlo su una testnet
Aave V3 gira sulla rete di prova Sepolia, con un contratto Pool elencato nell’address book pubblico di Aave e lo stesso premio dello 0,05% della mainnet, letto il 29 ottobre 2026. I token di prova arrivano dalla scheda Faucet dell’app di Aave, una volta attivata la modalità testnet, come descrive la guida ai test di Aave; gli ETH Sepolia per il gas arrivano da faucet di terze parti. Con un framework di sviluppo come Foundry o Hardhat puoi pubblicare un ricevente come quello sopra, caricarlo con qualche token di prova per coprire il premio e chiamare start. Poi riprova senza caricarlo: la transazione fallisce e il prestito non è mai esistito, che è tutta la lezione in un esperimento.
Due cose che una testnet non insegna. Lì non c’è alcun arbitraggio reale da catturare, perché i prezzi dei pool di prova non significano nulla. E un errore sulla mainnet costa gas vero: la sola transazione dell’attacco a Euler ha usato 1.949.994 unità di gas (il nostro glossario sul gas fee spiega come diventano una bolletta). Per imparare il meccanismo non servono soldi veri, e non vanno usati finché un ricevente non è stato testato e rivisto.
Flash loan arbitrage, cambio di collaterale e altri usi leciti
La maggior parte dei flash loan non sono attacchi. Permettono a chi non ha capitale di fare in un blocco ciò che altrimenti richiederebbe capitale, tempo e più transazioni esposte ai movimenti di prezzo nel frattempo.
Flash loan arbitrage
Il caso da manuale: un token quota 1,000 dollari su un exchange e 1,004 su un altro. Un contratto prende in flash 500.000 USDC, compra sulla piazza che costa meno, vende su quella che costa di più, restituisce il prestito e tiene la differenza al netto di commissioni e gas (tutti i numeri qui sono un esempio). Se il divario si chiude prima che la transazione venga inclusa, il controllo sul rimborso fallisce e la transazione viene annullata. Il tutorial di Flashbots per i searcher ricorda che un tentativo fallito inviato attraverso il suo sistema non finisce mai on-chain e non paga commissioni, quindi il gas si paga solo sugli scambi riusciti.
Nella pratica quella corsa la vincono bot specializzati e block builder, tema di una lezione futura sull’MEV. Chi cerca «flash loan arbitrage bot» o «arbitrage flash loan finder» deve sapere che i divari di prezzo pubblici sui grandi pool di solito si chiudono nello stesso blocco in cui nascono, e che un principiante che compete con uno script copiato da un sito di condivisione del codice rischia più di pagare gas, o di eseguire un contratto con una trappola, che di guadagnare.
Cambio di collaterale, cambio del debito e rimborso con il collaterale
È qui che gli utenti comuni incontrano i flash loan. La pagina sulle funzioni di swap di Aave descrive contratti adattatori costruiti sui suoi flash loan e sull’aggregatore ParaSwap. Un cambio di collaterale prende in flash una quantità dell’asset che fa da garanzia, lo converte nel nuovo asset e lo deposita per conto dell’utente, poi preleva la vecchia garanzia per restituire il prestito: chi aveva ETH come garanzia può tenere USDC senza chiudere il debito. Il rimborso con il collaterale usa il prestito per estinguere prima il debito, poi ritira la garanzia liberata e la converte per saldare. Un cambio del debito prende a prestito un altro asset per ripagare il vecchio debito. Cambi di collaterale e rimborsi con il collaterale esistono anche senza flash loan (swapAndDeposit e swapAndRepay), nei casi in cui spostare per un attimo la garanzia non incide sulla posizione; la pagina non elenca una versione simile per i cambi del debito. I cambi del debito in GHO si appoggiano invece al flash minter di GHO.
Quegli adattatori passano da ParaSwap. Quando la funzione separata di scambio token dell’interfaccia usa invece CoW Protocol, la stessa pagina elenca una commissione: nessuna sui cambi del debito, 15 punti base tra asset correlati come ETH e proof of stake coin with a protocol that stakes it for you and issues a transferable token (such as Lido stETH or rETH) representing the deposit plus rewards, which you can use or sell while the coins stay staked.">wstETH, 25 punti base sulle altre coppie. Gas e premio del flash loan, dove c’è, si aggiungono.
Rifinanziare un debito tra protocolli
La stessa logica sposta un prestito da un protocollo a un altro, per esempio da Aave a Morpho quando lì il tasso è più basso. Lo schema gira in una transazione: si prende in flash l’asset del debito, si ripaga il debito sul primo protocollo, si ritira la garanzia, la si deposita sul secondo, si prende in prestito lì e si restituisce il flash loan. Senza il prestito servirebbe abbastanza liquidità propria per ripagare il debito prima di liberare la garanzia. È uno schema, non una funzione di Aave con un nome: controlla cosa fa davvero uno strumento che lo offre prima di firmare.
Autoliquidazione
Una posizione vicina alla liquidazione si può chiudere con un flash loan: si prende in prestito l’asset del debito, si ripaga il debito, si ritira la garanzia, se ne vende abbastanza per restituire il flash loan. Chi lo fa paga la commissione del flash loan e i costi dello scambio invece del bonus di liquidazione che prenderebbe un liquidatore. La nostra lezione sulle liquidazioni spiegate racconta chi liquida e cosa si prende, compresi i liquidatori che finanziano il lavoro con flash loan. Tieni a mente questo schema: l’attaccante di Euler ne ha usato una versione maligna.
Flash loan attack: l’anatomia dell’attacco a Euler del 13 marzo 2023
Euler era un protocollo di lending su Ethereum in cui i depositi erano rappresentati da eToken e i debiti da dToken. Contavano due caratteristiche. Gli utenti potevano «mintare», creando insieme eToken e dToken per costruire una posizione a leva in una sola chiamata. E le liquidazioni usavano uno sconto che cresceva con il peggiorare della salute del debitore, quindi più una posizione era sott’acqua, più la sua garanzia costava poco al liquidatore.
Il protocollo aveva aggiunto una funzione, donateToReserves, che permetteva a un utente di regalare eToken alle riserve del protocollo. Ogni trasferimento normale di eToken si chiudeva con un controllo sulla solvibilità dell’account. Questo no. Il racconto dell’incidente pubblicato da Euler a gennaio 2024 dice che alla funzione mancava un health check, cosa che permetteva di rendere di proposito la propria posizione insolvente.
La transazione passo per passo
La società di sicurezza BlockSec ha ricostruito la transazione meglio documentata, quella finanziata da Aave V2. Per sommi capi, tutto dentro il blocco 16.817.996:
- Il contratto d’attacco ha preso in flash 30 milioni di DAI da Aave V2.
- Ha depositato 20 milioni di DAI su Euler e ricevuto circa 20 milioni di eDAI.
- Ha usato mint per creare circa 195 milioni di eDAI contro 200 milioni di dDAI, una posizione a leva consentita dalle regole.
- Ha ripagato 10 milioni di debito con i DAI rimasti, poi ha mintato di nuovo, finendo con circa 410 milioni di eDAI contro 390 milioni di dDAI.
- Ha donato 100 milioni di eDAI alle riserve. Senza health check, l’account si è ritrovato con più debito che garanzie e nulla è stato annullato.
- Un secondo contratto controllato dall’attaccante ha liquidato il primo. Poiché lo sconto cresce quando la salute scende, ha preso molta più garanzia del debito assunto (BlockSec conta 38 milioni di eDAI estratti), ha ritirato i DAI dal pool di Euler e ha restituito ad Aave i 30 milioni più 27.000 DAI.
La ricevuta on-chain coincide: stato riuscito, 56 log di eventi, 31 dei quali emessi dal contratto principale di Euler. Gli stessi passaggi sono stati ripetuti su altri asset in transazioni successive, finché il protocollo ha perso circa 197 milioni di dollari tra DAI, USDC, ether in staking e bitcoin wrapped. È la cifra di Euler; altre analisi la arrotondano tra 196 e 200 milioni di dollari.
Il ruolo del flash loan è chiaro dall’elenco. Ha fornito i 20 milioni di DAI del deposito e i 10 milioni del rimborso. Un attaccante con 30 milioni di dollari propri avrebbe potuto eseguire gli stessi passaggi. A rendere possibile il furto è stato il passaggio cinque: una funzione che cambiava un saldo senza controllare la solvibilità dopo.
Trattativa e restituzione dei fondi
Quello che seguì fu insolito. Il racconto di Euler del gennaio 2024 dice che il suo team compilò presto un elenco di piste, partendo dai contratti d’attacco e dallo stile del codice, e che il 17 marzo l’attaccante inviò fondi a un indirizzo che l’OFAC del Tesoro americano aveva attribuito al gruppo nordcoreano Lazarus, il che complicò il quadro. L’identità dell’attaccante non è stata resa pubblica.
| Data (2023, UTC) | Evento | Fonte |
|---|---|---|
| 13 marzo, 08:50:59 | Prima transazione dell’attacco, blocco 16.817.996 | Ethereum, Euler |
| 17 marzo | Parte dei fondi inviata a un indirizzo attribuito dall’OFAC a Lazarus | Euler |
| 25 marzo | Restituiti circa 51.000 ETH, circa 90 milioni di dollari | Euler |
| 27-28 marzo | Restituiti altri ETH e DAI, tra cui 5 milioni di DAI il 28 marzo | Euler |
| 3 aprile, 22:49-22:59 | Ultime restituzioni, tra cui 12 milioni di DAI e gli ETH rimanenti | Euler |
| 4 aprile | Euler Labs dichiara restituiti tutti i fondi recuperabili; oltre 177 milioni di dollari in totale | The Block |
The Block ha riferito il 4 aprile 2023 che l’ultima tranche era di 10.580 ETH e circa 12 milioni di DAI, citando Euler Labs, secondo cui erano stati restituiti «tutti i fondi recuperabili» sottratti al protocollo il 13 marzo (traduzione nostra). Nel suo resoconto successivo sul recupero, Euler stima il valore recuperato in circa 240 milioni di dollari, più di quanto fu preso, perché il prezzo dell’ether è salito mentre l’attaccante lo teneva.
Una rivendicazione successiva va messa a verbale come tale. A settembre 2023 un whitehat pseudonimo noto come Kankodu, che nel luglio 2022 aveva segnalato a Euler un bug di «primo deposito», ha scritto che la correzione del bug da lui segnalato aveva finito per introdurre la funzione responsabile dell’hack (traduzione nostra, come riportato da The Block il 6 settembre 2023). Il racconto di Euler conferma che donateToReserves fu aggiunta per correggere un bug del primo depositante. Il suo amministratore delegato, Michael Bentley, ha risposto che la correzione era stata verificata da un precedente auditor di Euler e implementata dopo un voto di governance; Euler Labs non ha commentato se la segnalazione abbia portato all’attacco.
Euler è poi ripartita come Euler V2, con un TVL di 276 milioni di dollari su DefiLlama al 29 ottobre 2026, contro zero per il protocollo originale.
Altri attacchi con flash loan, da bZx al 2026
Lo schema si è ripetuto da quando i flash loan sono diventati comuni, ogni volta con un bug diverso nella vittima.
| Data | Protocollo | Perdita riportata | Ruolo del flash loan | Causa di fondo |
|---|---|---|---|---|
| Febbraio 2020 | bZx (Fulcrum) | meno di 1 milione di dollari per attacco; le cifre della stampa variano | ha finanziato scambi che spostavano i prezzi sui DEX | garanzie valutate su mercati DEX manipolabili |
| 17 aprile 2022 | Beanstalk | circa 182 milioni di perdite del protocollo (media); circa 77 milioni di asset degli utenti sottratti, secondo Beanstalk | ha noleggiato una supermaggioranza di voto | potere di voto contato nell’istante del voto |
| 13 marzo 2023 | Euler | circa 197 milioni di dollari | ha finanziato deposito e rimborso | donateToReserves senza health check |
| 3 novembre 2025 | Balancer V2 | 128,64 milioni di dollari | nessuno descritto | errore di arrotondamento nei calcoli dei pool |
| 20 gennaio 2026 | Makina Finance | circa 4 milioni di dollari (1.299 ETH) | 280 milioni di USDC hanno distorto un pool Curve | pool valutato su prezzi spot manipolabili |
| 6 luglio 2026 | Summer.fi (Lazy Summer) | circa 6 milioni di dollari | 65,4 milioni di dollari, secondo CertiK | contabilità delle quote dei vault manipolata |
I due attacchi a bZx del febbraio 2020, a pochi giorni di distanza, furono tra i primi attacchi con flash loan a fare rumore. Secondo la revisione dell’auditor Quantstamp, il primo usò i flash loan di dYdX e il secondo quelli di bZx stessa; nel secondo, l’attaccante fece salire il prezzo di sUSD sugli exchange decentralizzati che bZx usava per valutare le garanzie, poi prese in prestito contro gli sUSD gonfiati. Le perdite riportate cambiano da testata a testata, tutte sotto il milione di dollari per attacco. La manipolazione degli oracoli di questo tipo, e il caso Mango Markets, sono nella lezione sugli oracoli DeFi avanzati e qui non si ripetono. La versione breve: un protocollo che legge un prezzo da un solo pool permette a chiunque abbia abbastanza capitale per un blocco di fissarlo, ed è per questo che feed mediati nel tempo e reti come Chainlink sono la difesa abituale.
Beanstalk, un protocollo di stablecoin, fu colpito attraverso la governance il 17 aprile 2022, alle 12:24 UTC circa secondo il suo stesso racconto. L’attaccante aveva presentato proposte malevole e aspettato le 24 ore richieste dalla procedura d’emergenza di Beanstalk. Poi un deposito finanziato con un flash loan gli diede circa il 79% dei voti, sopra la supermaggioranza dei due terzi richiesta, secondo la società di sicurezza Halborn; la proposta fu eseguita e i proventi ripagarono il prestito, tutto in una transazione. I media dell’epoca, come BleepingComputer, stimarono le perdite in circa 182 milioni di dollari, con circa 80 milioni di dollari in crypto presi dall’attaccante. Il post di Beanstalk descrive invece il furto di circa 77 milioni di dollari di asset di utenti non Beanstalk dai suoi pool di liquidità. La lezione: qualunque voto contato dai saldi di token in un solo istante può essere noleggiato per un blocco. Snapshot presi in anticipo e time-lock tra voto ed esecuzione chiudono quella porta.
I casi del 2026 sono più piccoli. Il 20 gennaio 2026, secondo Decrypt che cita PeckShield, un attaccante ha preso un flash loan da 280 milioni di USDC per distorcere il prezzo del pool DUSD-DUSDC di Makina Finance su Curve, che si basava su prezzi spot, e ha svuotato 1.299 ETH, circa 4 milioni di dollari; un builder MEV che ha anticipato l’attacco ne ha incassato la maggior parte. Il 6 luglio 2026 The Block ha riferito di una perdita di circa 6 milioni di dollari al Lazy Summer Protocol di Summer.fi; la cifra di 65,4 milioni di dollari per il flash loan viene da CertiK, che ha descritto una manipolazione della contabilità totalAssets dei vault, e Summer.fi non aveva ancora confermato l’exploit alla pubblicazione dell’articolo.
Perché i flash loan non sono il vero problema
Rileggi la colonna delle cause. Un controllo di solvibilità mancante, un prezzo letto da un pool che chiunque può muovere (il lavoro di un oracolo fatto male), un voto contato in un istante, una contabilità dei vault che un solo grosso deposito poteva falsare. In ogni caso il flash loan ha fatto una cosa sola: ha dato a un attaccante senza capitale il capitale che serviva al bug, per la durata di un blocco. È una chiave che chiunque può noleggiare. Non ha mai reso debole la serratura.
Uno dei più grandi exploit DeFi del 2025 lo dimostra. Il 3 novembre 2025 un attaccante ha svuotato 128,64 milioni di dollari dai pool Balancer V2 su sei chain, secondo Check Point Research, raggruppando molti piccoli scambi per amplificare un errore di arrotondamento nei calcoli dei pool. L’analisi di Check Point non descrive alcun flash loan. Non fu un attacco con flash loan, e costò più di tutti i casi 2026 con flash loan della tabella messi insieme.
Vietare i flash loan eliminerebbe anche gli usi leciti visti sopra, e non fermerebbe un attaccante dotato di fondi. Ciò che riduce i danni sta nel codice e nella governance della vittima.
- Leggere i prezzi da oracoli mediati nel tempo o aggregati, come i feed Chainlink, e non dal prezzo spot di un solo pool.
- Eseguire un controllo di solvibilità o di invarianti alla fine di ogni funzione che modifica i saldi, comprese quelle poco usate.
- Misurare il potere di voto su uno snapshot preso prima della proposta, e attendere prima di eseguirla.
- Testare le invarianti e pagare audit indipendenti, sapendo che il codice di Euler era stato verificato e il difetto è sfuggito comunque.
Per un utente i flash loan cambiano una cosa: il punto debole di un protocollo può essere colpito da chiunque, su larga scala, dal primo giorno. La nostra storia della DeFi elenca gli hack maggiori; leggere gli audit di un protocollo, i suoi limiti e la storia degli incidenti prima di depositare dice più del fatto che i flash loan esistano sulla chain.
Flash loan e tasse in Italia: Consob, OAM e MiCA
Nessuna regola italiana che abbiamo verificato parla di flash loan per nome. Il prestito si prende e si restituisce in pochi secondi, quindi la domanda è che cosa resta in tasca. Per le tasse, le plusvalenze da cripto-attività nel 2026 sono tassate al 33% (legge 207/2024), e la circolare 30/E del 27 ottobre 2023 dell’Agenzia delle Entrate è il documento di riferimento sul trattamento delle cripto-attività, ma non dedica una regola specifica ai flash loan né alle operazioni DeFi in genere: il trattamento di un profitto da arbitraggio, di una commissione o di un cambio di collaterale resta quindi non chiarito, e per un bot che opera a ogni blocco serve un commercialista che conosca le cripto-attività. Le regole generali sono nella nostra guida alle tasse sulle crypto in Italia.
Sul fronte della vigilanza, il regolamento europeo MiCA disciplina emittenti e prestatori di servizi per cripto-attività, e in Italia i supervisori sono Banca d’Italia e Consob; l’OAM tiene l’elenco degli operatori che offrono servizi in valute virtuali. Un protocollo come Aave o Morpho, che esegue codice pubblico senza un intermediario che gestisce il tuo conto, non rientra con chiarezza in quelle categorie, e usarlo non ti dà le tutele di un servizio autorizzato. Per capire se un’offerta che incontri online è sorvegliata, controlla l’elenco dell’OAM e gli avvisi della Consob sui siti abusivi.
Flash USDT e app flash loan: le truffe che usano il nome
Un vero flash loan non lascia saldo: alla fine della transazione il denaro è restituito oppure la transazione non è mai avvenuta. Quindi qualsiasi offerta di token che restano nel wallet per settimane, una «app flash loan» che accredita il tuo conto o un software che «genera» USDT è una truffa. Una spiegazione sul flash USDT pubblicata da Plasma, una blockchain per stablecoin, descrive i trucchi: token contraffatti con il nome di Tether su chain economiche, trasferimenti inviati con commissioni troppo basse per essere confermati che compaiono per poco in un wallet, falsi siti di attivazione che chiedono una commissione o la seed phrase, e venditori nei trasferimenti peer-to-peer che spingono la vittima a rilasciare crypto vere in cambio di un token falso.
Il controllo richiede un minuto. Cerca l’indirizzo del contratto del token su un block explorer e confrontalo con quello che Tether pubblica. Un trasferimento che resta in sospeso, o un token il cui contratto non coincide, non vale nulla. Chi è stato truffato può denunciare alla Polizia Postale. Nessuno ha bisogno di comprare un software per usare un flash loan: i contratti di Aave, Morpho e Uniswap sono pubblici e liberi da chiamare, e gli unici costi sono la commissione e il gas. La prossima lezione del percorso passa dai prestiti che durano un blocco ai prestiti a tasso fisso e scadenza fissa.
