¿Qué es un flash loan? La herramienta más potente (y peligrosa) de DeFi

¿Qué es un flash loan?

Un flash loan es un préstamo que debe solicitarse Y devolverse dentro de una única transacción de blockchain. No se requiere colateral. No hay verificación de crédito. No hay verificación de identidad. Puedes pedir prestados 10 millones, 100 millones o toda la liquidez que contenga el pool de préstamos, y el único requisito es que devuelvas todo (más una pequeña comisión) antes de que la transacción termine de ejecutarse.

¿Y si no devuelves el dinero? La transacción simplemente falla y se revierte. Es como si nunca hubieras pedido el préstamo. Los fondos del prestamista nunca salen realmente del pool, no se pierde dinero y el único coste para el prestatario fallido es una pequeña cantidad de gas por la transacción fallida.

Este concepto no tiene equivalente en las finanzas tradicionales. En el mundo bancario convencional, cada préstamo requiere colateral, historial crediticio o ambos. Los flash loans evitan todo eso explotando una propiedad única de las blockchains: las transacciones atómicas.

¿Cómo es esto posible?

Las transacciones de blockchain son atómicas: o todo en la transacción tiene éxito, o todo se revierte. No hay punto medio. Esto es fundamentalmente diferente a cómo funcionan las finanzas tradicionales, donde cada paso de una operación financiera es un evento separado que puede tener éxito o fallar de forma independiente.

Un flash loan explota esta atomicidad. Esto es lo que ocurre dentro de una sola transacción:

1. Paso 1: Pide prestados $10M de Aave. El contrato de flash loan envía $10M a tu smart contract.
2. Paso 2: Haz algo rentable con los $10M. Tu contrato ejecuta cualquier estrategia que hayas programado: arbitraje, liquidación, intercambio de colateral o cualquier otra cosa.
3. Paso 3: Devuelve $10M + una pequeña comisión a Aave. Tu contrato devuelve el importe prestado más la comisión del protocolo (normalmente entre el 0,05% y el 0,09%).

Si el paso 3 falla (es decir, tu contrato no tiene suficientes fondos para devolver el préstamo), entonces los pasos 1 y 2 también se revierten. Toda la transacción se deshace. Aave nunca pierde ni un solo dólar, porque desde la perspectiva de la blockchain, el préstamo nunca ocurrió.

Es por esto que los flash loans no requieren colateral. El riesgo del prestamista es literalmente cero. La Ethereum Virtual Machine impone el reembolso a nivel de protocolo, no mediante contratos legales ni puntuaciones de crédito, sino a través de la mecánica fundamental de cómo funcionan las transacciones de blockchain.

Usos legítimos de los flash loans

Arbitraje. Las diferencias de precio entre exchanges descentralizados ocurren constantemente. ETH podría estar a $3.000 en Uniswap y a $3.005 en SushiSwap. Con un flash loan, cualquiera puede pedir prestada una gran cantidad de ETH, comprar barato en un DEX, vender caro en el otro y quedarse con la diferencia, todo sin poseer capital. Antes de los flash loans, el arbitraje solo estaba disponible para traders con fondos significativos. Los flash loans lo hacen accesible a cualquiera que sepa escribir el código.

Liquidaciones. Cuando una posición de préstamo en DeFi se vuelve poco saludable (el valor del colateral del prestatario cae en relación con su deuda), cualquiera puede liquidarla y ganar una bonificación de liquidación. Los flash loans permiten a los liquidadores pedir prestados los fondos necesarios para pagar la deuda del prestatario, tomar el colateral descontado, venderlo, devolver el flash loan y quedarse con la bonificación, todo sin necesidad de capital propio.

Intercambios de colateral. Supongamos que tienes un préstamo en Aave respaldado por ETH, pero quieres cambiar tu colateral a WBTC. Sin un flash loan, tendrías que pagar toda tu deuda primero (requiriendo que tengas los fondos a mano), retirar tu ETH, cambiarlo a WBTC, volver a depositar y pedir prestado de nuevo. Con un flash loan, puedes hacer todo esto en una sola transacción atómica: pedir prestados los fondos para pagar tu deuda, cambiar el colateral y volver a pedir prestado para pagar el flash loan.

Autoliquidación. Si tu posición apalancada en DeFi se acerca al umbral de liquidación, puedes usar un flash loan para cerrarla tú mismo en una transacción, evitando la penalización de liquidación que se cobraría si alguien más te liquidara. Pides prestado lo suficiente para pagar tu deuda, retiras tu colateral, vendes suficiente colateral para pagar el flash loan y te quedas con el resto.

Refinanciación. Mueve un préstamo de un protocolo a otro que ofrezca mejores tipos de interés, todo en una sola transacción. Pide prestado mediante flash loan, paga tu deuda existente, retira tu colateral, deposítalo en el nuevo protocolo, pide prestado del nuevo protocolo y paga el flash loan. Lo que normalmente requeriría múltiples transacciones y conllevaría riesgo de liquidación, se convierte en una única operación atómica.

Ataques de flash loans: el lado oscuro

Los flash loans han permitido miles de millones de dólares en exploits de DeFi. La misma propiedad que los hace potentes para un uso legítimo (acceso instantáneo a un capital enorme sin colateral) también los convierte en una herramienta devastadora para los atacantes.

El patrón de ataque de flash loan más común funciona así:

1. Pide prestada una cantidad masiva mediante un flash loan.
2. Utiliza los fondos prestados para manipular un oráculo de precios, normalmente realizando una operación enorme en un exchange de baja liquidez del que depende un protocolo DeFi para fijar precios.
3. Explota el protocolo objetivo al precio manipulado (incorrecto), por ejemplo, pidiendo prestado mucho más de lo que el colateral debería permitir o activando liquidaciones a precios artificiales.
4. Obtén beneficios del exploit.
5. Devuelve el flash loan y quédate con la diferencia.

Todo esto ocurre en una sola transacción, a menudo en cuestión de segundos.

Ataques de flash loans notables

• bZx (febrero de 2020): El primer gran ataque de flash loan. El atacante utilizó un flash loan para manipular precios en múltiples protocolos DeFi, extrayendo aproximadamente $8 millones. Este ataque puso a los flash loans en el radar de seguridad de toda la industria.
• Harvest Finance (octubre de 2020): Exploit de $34 millones utilizando flash loans para manipular el precio de stablecoins en pools de Curve Finance, que Harvest Finance utilizaba como referencia de precios.
• Beanstalk (abril de 2022): Ataque de gobernanza mediante flash loan de $182 millones. El atacante no manipuló un oráculo de precios. En su lugar, pidió prestados suficientes tokens de gobernanza mediante un flash loan para aprobar una propuesta de gobernanza maliciosa que drenó la tesorería del protocolo, todo en una transacción. Fue una variante novedosa y devastadora.
• Euler Finance (marzo de 2023): Exploit de $197 millones utilizando flash loans para manipular la contabilidad interna del protocolo a través de una serie de depósitos, préstamos y donaciones. Fue uno de los mayores exploits de flash loans en la historia de DeFi.

La conclusión crítica es esta: los flash loans no crean vulnerabilidades, amplifican las existentes. El error siempre está en el protocolo explotado, no en el flash loan en sí. Un protocolo con un oráculo de precios manipulable es vulnerable tanto si el atacante usa un flash loan como si usa su propio capital. Los flash loans simplemente hacen posible que cualquiera explote el error, sin necesidad de tener millones de dólares en su propia billetera.

¿Por qué no se pueden simplemente prohibir los flash loans?

Después de cada gran exploit de flash loan, surge la pregunta: ¿por qué no deshacerse de ellos? La respuesta es que causaría más daño que beneficio, y puede que ni siquiera sea posible.

Los flash loans son una primitiva fundamental de la DeFi componible. Surgen naturalmente del modelo de transacción atómica que utilizan todas las blockchains. Prohibirlos significaría restringir cómo pueden interactuar los smart contracts entre sí, socavando la componibilidad que hace que DeFi sea potente.

Prohibir los flash loans también acabaría con todos sus usos legítimos. Los arbitrajistas que mantienen la eficiencia de los precios entre exchanges, los liquidadores que mantienen solventes los protocolos de préstamo y los usuarios que quieren refinanciar o intercambiar colateral perderían el acceso a una herramienta crítica.

La verdadera solución es construir protocolos que sean resistentes a la manipulación mediante flash loans. Esto significa un mejor diseño de oráculos (usando precios promedio ponderados por tiempo en lugar de precios spot, agregando datos de muchas fuentes), mecanismos de gobernanza que requieran que los tokens se mantengan durante un período mínimo antes de votar, y disyuntores que detecten y bloqueen transacciones sospechosas. El riesgo debe gestionarse a nivel de protocolo, no restringiendo las herramientas disponibles para los usuarios.

Flash loans vs préstamos regulares

¿Quién puede usar flash loans?

Los flash loans no son una función de "un solo clic". Para ejecutar un flash loan, necesitas escribir un smart contract que pida prestados los fondos, ejecute tu estrategia y devuelva el préstamo, todo dentro de una sola transacción. Esto requiere conocimientos de programación en Solidity y una comprensión de los protocolos DeFi con los que estás interactuando.

Dicho esto, existen herramientas que abstraen la complejidad. Plataformas como Furucombo y DeFi Saver proporcionan interfaces sin código o de bajo código que permiten a los usuarios construir transacciones de flash loan a través de una interfaz visual. Estas herramientas manejan la creación del smart contract detrás de escena, haciendo que los flash loans sean accesibles para usuarios que no saben escribir código.

Incluso con estas herramientas, los flash loans siguen siendo DeFi avanzada. Es esencial entender los costes de gas, el slippage, el orden de las transacciones y la mecánica específica de cada protocolo. El arbitraje rentable con flash loans, en particular, es extremadamente competitivo: los bots automatizados compiten para ejecutar oportunidades en milisegundos, y la mayoría de las estrategias de arbitraje simples ya han sido reclamadas por operadores sofisticados.