Flash loan là gì? Khoản vay trong một giao dịch DeFi

Flash loan (khoản vay chớp nhoáng) là khoản vay không cần tài sản thế chấp, được cấp và phải trả lại trong cùng một giao dịch trên blockchain. Nếu đến cuối giao dịch tiền vay và phí chưa được trả đủ, toàn bộ giao dịch bị hủy như chưa từng xảy ra, nên bên cho vay gần như không gánh rủi ro vỡ nợ. Theo một nghiên cứu của nhân viên Ngân hàng Trung ương Canada (quan điểm của tác giả, không phải quan điểm chính thức của ngân hàng), riêng năm 2024 có khoảng 10 triệu lượt flash loan, tổng giá trị vay hơn 2 nghìn tỷ USD.

Bài giải thích flash loan theo tài liệu của Aave và nghiên cứu của Ngân hàng Trung ương Canada, kiểm ngày 28/10/2026: cơ chế, phí, công dụng hợp lệ, vì sao flash loan xuất hiện trong nhiều vụ tấn công DeFi, và các chiêu lừa mượn tên flash loan. Bài mô tả ở mức khái niệm, không hướng dẫn thực hiện.

Flash loan là gì?

Flash loan là khoản vay chỉ tồn tại trong một giao dịch: vay, dùng và trả đều phải xong trước khi giao dịch kết thúc, nếu không mọi bước bị hoàn tác.

Tài liệu Aave v3 định nghĩa flash loan là giao dịch đặc biệt cho phép vay một tài sản “as long as the borrowed amount (and a fee) is returned before the end of the transaction”, và người vay không cần thế chấp trước. Aave viết thêm: “There is no real world analogy to Flash Loans”.

Điều làm flash loan khả thi là tính nguyên tử (atomicity) của giao dịch blockchain: một giao dịch hoặc chạy xong mọi bước, hoặc không bước nào có hiệu lực. Nghiên cứu của Ngân hàng Trung ương Canada (Staff Discussion Paper 2025-6) giải thích: nếu khoản vay không được trả trong giao dịch, “the full transaction reverts and has no impact on the state of the blockchain”, ngoại trừ phí gas người gửi vẫn phải trả. Bên cho vay vì vậy không cần đánh giá người vay là ai.

Flash loan hoạt động thế nào?

Người vay phải tự viết một hợp đồng thông minh; hợp đồng này nhận tiền vay, thực hiện các thao tác, rồi trả lại tiền vay cộng phí, tất cả trong một giao dịch.

Theo luồng thực hiện trong tài liệu Aave v3, ở mức khái niệm:

1. Hợp đồng của người vay gửi yêu cầu vay một số tiền tới hợp đồng pool của Aave.
2. Pool chuyển tiền cho hợp đồng người vay rồi gọi lại hợp đồng đó.
3. Hợp đồng người vay chạy các thao tác đã lập trình sẵn với số tiền vừa nhận.
4. Cuối cùng, pool thu lại số tiền vay cộng phí. Nếu không đủ, “the transaction is reverted”.

Tất cả diễn ra trong một giao dịch, tức trong một khối. Không có bước “rút tiền vay về ví rồi trả sau”. Ngoài Aave, nghiên cứu của Ngân hàng Trung ương Canada nêu các dạng tương tự: flash swap của Uniswap V2 và flash mint của Maker, nơi stablecoin được đúc ra rồi hủy trong cùng giao dịch.

Phí flash loan. Theo tài liệu Aave v3, phí “is initialized at deployment to 0.05% and can be updated via Governance Vote”. Vietnambit đọc hợp đồng Aave v3 trên Ethereum (thị trường Core) ngày 28/10/2026: mức phí vẫn là 0,05%; thị trường và mạng khác có thể đặt mức khác. Ví dụ tính tay với mức 0,05%:

• Vay 1.000.000 USDC.
• Phí = 1.000.000 × 0,05% = 1.000.000 × 0,0005 = 500 USDC.
• Phải trả lại trong cùng giao dịch: 1.000.000 + 500 = 1.000.500 USDC, chưa kể phí gas trả cho mạng.

Phí gas tính riêng, theo cơ chế ở bài phí gas là gì.

Flash loan ra đời khi nào?

Ý tưởng có từ năm 2018; khoản flash loan đầu tiên trên Aave diễn ra ngày 17/01/2020, trị giá 33,10 USD.

Theo nghiên cứu nói trên, ý tưởng “flash lending” do nhóm phát triển Marble, một dự án ngân hàng mã nguồn mở trên Ethereum, đưa ra năm 2018. Aave V1 là bên đầu tiên triển khai được: hợp đồng đăng ngày 08/01/2020, khoản vay đầu tiên ngày 17/01/2020 gồm 33,10 USD tiền DAI, có vẻ dùng để chênh giá. Vài tháng sau dYdX cung cấp flash loan không phí, Uniswap V2 có flash swap; tháng 9/2021 Maker ra flash mint. Đến tháng 01/2025, nghiên cứu đếm được gần 24 triệu lượt flash loan trên 11 blockchain tương thích EVM, tổng giá trị vay hơn 3 nghìn tỷ USD.

Flash loan dùng để làm gì?

Phần lớn để kinh doanh chênh lệch giá giữa các sàn phi tập trung; ngoài ra để thanh lý khoản vay và đổi tài sản thế chấp. Hầu hết lượt vay có giá trị nhỏ.

Công dụng	Cách làm (khái niệm)	Ghi chú theo nghiên cứu
Chênh lệch giá	Vay, mua nơi rẻ, bán nơi đắt, trả nợ, giữ phần chênh	Hơn 75% số lượt; giá trị trung vị khoảng 100 USD hoặc thấp hơn
Thanh lý	Vay để trả nợ thay người bị thanh lý, nhận tài sản thế chấp giá chiết khấu	Tăng vọt quanh các đợt thị trường sập
Đổi tài sản thế chấp	Đóng khoản vay cũ, mở khoản vay mới bằng thế chấp khác trong một giao dịch	Aave dùng cho tính năng đổi thanh khoản
Giao dịch tự khớp (wash trading)	Mua bán qua lại để thổi khối lượng	Hành vi thao túng; giá trị trung vị khoảng 100 USD hoặc thấp hơn
Tấn công	Dùng vốn lớn để khai thác lỗi của giao thức	Giá trị trung bình hàng triệu USD

Theo Bank of Canada Staff Discussion Paper 2025-6 (dữ liệu đến 31/12/2024) và tài liệu Aave v3.

Theo cùng nghiên cứu, người dùng flash loan “are generally highly sophisticated actors”: họ phải tự viết hợp đồng, quét thị trường theo thời gian thực và cạnh tranh với nhiều bot khác. Kinh doanh chênh lệch giá có ích cho thị trường vì kéo giá giữa các pool thanh khoản về gần nhau, nhưng không phải nguồn tiền dễ kiếm. Cuộc đua giữa các bot quanh thứ tự giao dịch có ở bài MEV là gì.

Tấn công flash loan là gì?

Tấn công flash loan là khai thác lỗ hổng có sẵn của một giao thức bằng vốn vay chớp nhoáng. Flash loan không phải lỗi; nó cho kẻ tấn công lượng vốn đủ lớn để lỗi kia sinh ra tiền.

Theo phân loại của DefiLlama mà nghiên cứu nói trên dẫn lại, các kiểu tấn công thường gặp có dùng flash loan gồm tấn công nguồn giá (oracle), khai thác lỗi logic hàm “quyên góp”, tấn công quản trị và tấn công gọi lại (reentrancy). Phổ biến nhất là tấn công nguồn giá: dùng vốn lớn đẩy giá một cặp token trên sàn phi tập trung mà giao thức nạn nhân dùng làm nguồn giá, rồi vay một tài sản khác vượt giá trị thật và không trả. Cơ chế oracle và vụ Mango Markets ở bài oracle là gì.

Một số vụ có số liệu từ nguồn gốc:

Vụ	Ngày	Kiểu lỗi bị khai thác	Thiệt hại, lợi nhuận
bZx (lần 1)	15/02/2020	Đẩy giá rồi chênh lệch	Lợi nhuận 1.193,69 ETH (nhóm tác giả quy ra khoảng 350.000 USD)
bZx (lần 2)	18/02/2020	Thao túng nguồn giá	Lợi nhuận 2.381,41 ETH (nhóm tác giả quy ra khoảng 634.900 USD)
Beanstalk	17/04/2022	Cơ chế quản trị	Khoảng 77 triệu USD lấy từ pool
Euler Finance	13/03/2023	Lỗi logic hàm quyên góp	Khoảng 197 triệu USD; hơn 177 triệu USD được trả lại

Nguồn: bZx theo Qin và cộng sự (2020); Beanstalk theo bài phân tích sau sự cố của Beanstalk (19/04/2022); Euler theo CertiK (13/03/2023) và The Block (04/04/2023). Giá USD theo từng nguồn, tại thời điểm sự cố.

• bZx 2020. Nhóm Qin và cộng sự phân tích hai vụ tấn công dùng flash loan diễn ra tháng 02/2020, với tỷ suất lợi nhuận “beyond 500k%” vì kẻ tấn công gần như không bỏ vốn. Vụ thứ hai làm méo giá sUSD so với ETH trên sàn phi tập trung, rồi thế chấp sUSD đang bị định giá cao để vay ETH.
• Beanstalk 2022. Theo bài phân tích của Beanstalk, kẻ tấn công “used a flash loan to exploit the protocol’s governance mechanism” và lấy khoảng 77 triệu USD từ các pool thanh khoản. Cách quyền biểu quyết theo số token bị lợi dụng ở bài DAO là gì.
• Euler 2023. Theo CertiK, kẻ tấn công vay chớp nhoáng 30 triệu DAI, khai thác một hàm cho phép “quyên góp” vào quỹ dự trữ mà thiếu bước kiểm tra tài sản bảo đảm (“no proper check on the collateralization status”), gây thiệt hại khoảng 197 triệu USD. Theo The Block, đến 04/04/2023 kẻ tấn công đã trả lại hơn 177 triệu USD và Euler Labs xác nhận “all of the recoverable funds” đã được trả lại.

Nhiều vụ hack lớn khác không cần flash loan, như cầu nối Ronin bị chiếm khóa validator hay Wormhole lỗi kiểm tra chữ ký năm 2022, xem bài cầu nối blockchain là gì.

Giao thức phòng tấn công flash loan thế nào?

Không chặn flash loan được, nên giao thức phải làm cho vốn lớn tức thời không sinh ra lợi: nguồn giá khó đẩy, quyền biểu quyết không mua được trong một giao dịch, và kiểm tra tài sản bảo đảm ở mọi hàm.

OWASP, tổ chức an toàn phần mềm phi lợi nhuận, xếp tấn công flash loan vào danh sách 10 rủi ro hợp đồng thông minh năm 2025 và khuyến nghị “Use time-weighted average prices (TWAP) or decentralized oracles resistant to manipulation”, cùng việc kiểm thử các kịch bản flash loan. Nghiên cứu nói trên ghi nhận sau mỗi thiết kế mới thường có một hoặc vài vụ tấn công, rồi hệ sinh thái điều chỉnh.

Với người gửi tiền vào giao thức DeFi, việc kiểm được là: giao thức có báo cáo kiểm toán và lịch sử sự cố công khai không, dùng nguồn giá nào, quyết định quản trị có độ trễ (timelock) trước khi thực thi không. Không mục nào bảo đảm an toàn tuyệt đối, kể cả quy mô tiền gửi lớn (xem bài TVL là gì). Ý nghĩa của kiểm toán có ở bài hợp đồng thông minh là gì.

Chiêu lừa mượn tên flash loan

“Flash loan kiếm lời không cần vốn”, “bot flash loan chênh giá tự động” và “flash USDT” là các lời mời nên coi là dấu hiệu lừa đảo.

• Bot flash loan, bot chênh giá. Dạng đã được ghi nhận: video hướng dẫn tự triển khai một hợp đồng “bot” rồi nạp ETH vào để bot chạy; hợp đồng thực chất cho kẻ lừa rút tiền người nạp. SentinelLABS mô tả chiêu này với tên “bot MEV”, một ví của kẻ lừa nhận 244,9 ETH; chi tiết ở bài MEV là gì. Đáng chú ý: flash loan thật không cần người vay nạp vốn, nên lời yêu cầu “nạp ETH vào hợp đồng để kích hoạt flash loan” đã là điểm đáng ngờ.
• Lãi chắc chắn. Theo nghiên cứu nói trên, các lượt chênh giá có giá trị trung vị khoảng 100 USD hoặc thấp hơn và bị nhiều bot chuyên nghiệp tranh nhau. Lời hứa lãi theo ngày từ “flash loan” không khớp với dữ liệu này.
• Flash USDT. Không liên quan đến flash loan. Đó là chiêu USDT giả hoặc số dư giả, xem bài USDT flash là gì.

Flash loan và pháp luật Việt Nam

Văn bản Việt Nam chưa nhắc đến flash loan; giao thức cung cấp flash loan không phải tổ chức được cấp phép theo Nghị quyết 05/2025/NQ-CP.

• Ngoài khung cấp phép. Nghị quyết 05/2025/NQ-CP chỉ cho tổ chức được Bộ Tài chính cấp phép cung cấp dịch vụ tài sản mã hóa; tính đến 28/10/2026 chưa tổ chức nào được cấp phép. Sau 6 tháng kể từ giấy phép đầu tiên, nhà đầu tư trong nước giao dịch ngoài tổ chức được cấp phép có thể bị phạt 15–25 triệu đồng với cá nhân (Nghị định 284/2026/NĐ-CP Điều 9 khoản 1, Điều 4 khoản 2).
• Quảng cáo “bot flash loan”. Quảng cáo, tiếp thị liên quan đến tài sản mã hóa khi không có giấy phép có thể bị phạt 90–100 triệu đồng với cá nhân, 180–200 triệu đồng với tổ chức (Nghị định 284 Điều 7 khoản 4 điểm b, Điều 4 khoản 2).
• Bị lừa. Nếu đã nạp tiền vào một “bot flash loan”, các bước nên làm và nơi trình báo có ở bài bị lừa tiền ảo làm gì.