Qu'est-ce qu'un flash loan ? L'outil le plus puissant (et dangereux) de la DeFi

Qu'est-ce qu'un flash loan ?

Un flash loan est un prêt qui doit être emprunté ET remboursé au sein d'une seule transaction blockchain. Aucun collatéral n'est requis. Aucune vérification de crédit. Aucune vérification d'identité. Vous pouvez emprunter 10 millions, 100 millions de dollars, ou autant de liquidités que le pool de prêt contient — la seule condition est de tout rendre (plus des frais minimes) avant la fin de l'exécution de la transaction.

Si vous ne remboursez pas ? La transaction échoue simplement et est annulée. C'est comme si vous n'aviez jamais emprunté. Les fonds du prêteur ne quittent jamais réellement le pool, aucun argent n'est perdu, et le seul coût pour l'emprunteur est une petite quantité de gas pour la transaction échouée.

Ce concept n'a aucun équivalent en finance traditionnelle. Dans le monde bancaire conventionnel, chaque prêt nécessite soit un collatéral, soit un historique de crédit, ou les deux. Les flash loans contournent tout cela en exploitant une propriété unique des blockchains : les transactions atomiques.

Comment est-ce possible ?

Les transactions blockchain sont atomiques : tout réussit ou tout est annulé. Rien entre les deux. C'est fondamentalement différent du fonctionnement de la banque traditionnelle, où chaque étape d'une opération financière est un événement distinct pouvant réussir ou échouer indépendamment.

Un flash loan exploite cette atomicité. Voici ce qui se passe au sein d'une seule transaction :

1. Étape 1 : Emprunter 10M$ auprès d'Aave. Le contrat de flash loan envoie 10M$ à votre smart contract.
2. Étape 2 : Faire quelque chose de rentable avec les 10M$. Votre contrat exécute la stratégie que vous avez codée — arbitrage, liquidation, swap de collatéral, ou toute autre opération.
3. Étape 3 : Rembourser 10M$ + des frais minimes à Aave. Votre contrat retourne le montant emprunté plus les frais du protocole (généralement 0,05 % à 0,09 %).

Si l'étape 3 échoue — ce qui signifie que votre contrat n'a pas assez de fonds pour rembourser — alors les étapes 1 et 2 sont également annulées. Toute la transaction est restaurée. Aave ne perd jamais un seul dollar, car du point de vue de la blockchain, le prêt n'a jamais eu lieu.

C'est pourquoi les flash loans ne nécessitent aucun collatéral. Le risque du prêteur est littéralement nul. L'Ethereum Virtual Machine impose le remboursement au niveau du protocole — non pas par des contrats juridiques ou des scores de crédit, mais par les mécanismes fondamentaux du fonctionnement des transactions blockchain.

Usages légitimes des flash loans

Arbitrage. Les différences de prix entre les plateformes d'échange décentralisées (DEX) surviennent constamment. L'ETH peut être à 3 000 $ sur Uniswap et à 3 005 $ sur SushiSwap. Avec un flash loan, n'importe qui peut emprunter une grande quantité d'ETH, acheter à bas prix sur un DEX, vendre cher sur l'autre, et empocher la différence — tout cela sans posséder de capital. Avant les flash loans, l'arbitrage était réservé aux traders disposant de fonds importants. Les flash loans le rendent accessible à quiconque sait coder.

Liquidations. Lorsqu'une position de prêt DeFi devient "malsaine" (la valeur du collatéral de l'emprunteur chute par rapport à sa dette), n'importe qui peut la liquider et gagner un bonus de liquidation. Les flash loans permettent aux liquidateurs d'emprunter les fonds nécessaires pour rembourser la dette de l'emprunteur, saisir le collatéral décoté, le vendre, rembourser le flash loan et conserver le bonus — tout cela sans avoir besoin de capital propre.

Swaps de collatéral. Supposons que vous ayez un prêt sur Aave garanti par de l'ETH, mais que vous souhaitiez passer votre collatéral en WBTC. Sans flash loan, vous devriez d'abord rembourser toute votre dette (ce qui nécessite d'avoir les fonds sous la main), retirer votre ETH, l'échanger contre du WBTC, redéposer et emprunter à nouveau. Avec un flash loan, vous pouvez faire tout cela en une seule transaction atomique — emprunter les fonds pour rembourser votre dette, échanger le collatéral, et ré-emprunter pour rembourser le flash loan.

Auto-liquidation. Si votre position DeFi à effet de levier approche du seuil de liquidation, vous pouvez utiliser un flash loan pour la fermer vous-même en une transaction — évitant ainsi la pénalité de liquidation qui serait appliquée si quelqu'un d'autre vous liquidait. Vous empruntez assez pour rembourser votre dette, retirez votre collatéral, vendez assez de collatéral pour rembourser le flash loan, et gardez le reste.

Refinancement. Déplacez un prêt d'un protocole à un autre offrant de meilleurs taux d'intérêt — en une seule transaction. Empruntez via flash loan, remboursez votre dette existante, retirez votre collatéral, déposez-le sur le nouveau protocole, empruntez sur le nouveau protocole et remboursez le flash loan. Ce qui nécessiterait normalement plusieurs transactions et comporterait un risque de liquidation devient une seule opération atomique.

Attaques par flash loan — le côté obscur

Les flash loans ont permis des milliards de dollars d'exploits DeFi. La même propriété qui les rend puissants pour un usage légitime — l'accès instantané à un capital énorme sans collatéral — en fait également un outil dévastateur pour les attaquants.

Le schéma d'attaque par flash loan le plus courant fonctionne ainsi :

1. Emprunter une somme massive via flash loan.
2. Utiliser les fonds empruntés pour manipuler un oracle de prix — généralement en effectuant un trade énorme sur une plateforme à faible liquidité sur laquelle un protocole DeFi s'appuie pour la tarification.
3. Exploiter le protocole cible au prix manipulé (erroné) — par exemple, en empruntant bien plus que ce que le collatéral devrait permettre, ou en déclenchant des liquidations à des prix artificiels.
4. Profiter de l'exploit.
5. Rembourser le flash loan et garder la différence.

Tout cela se produit en une seule transaction, souvent en quelques secondes.

Attaques par flash loan notables

• bZx (février 2020) — La première attaque majeure par flash loan. L'attaquant a utilisé un flash loan pour manipuler les prix sur plusieurs protocoles DeFi, extrayant environ 8 millions de dollars. Cette attaque a placé les flash loans sous le radar de sécurité de toute l'industrie.
• Harvest Finance (octobre 2020) — Exploit de 34 millions de dollars utilisant des flash loans pour manipuler le prix des stablecoins dans les pools Curve Finance, que Harvest Finance utilisait comme référence de prix.
• Beanstalk (avril 2022) — Attaque par flash loan sur la gouvernance de 182 millions de dollars. L'attaquant n'a pas manipulé d'oracle de prix. Au lieu de cela, il a emprunté assez de jetons de gouvernance via flash loan pour faire passer une proposition malveillante qui a drainé la trésorerie du protocole — le tout en une transaction. C'était une variante inédite et dévastatrice.
• Euler Finance (mars 2023) — Exploit de 197 millions de dollars utilisant des flash loans pour manipuler la comptabilité interne du protocole via une série de dépôts, d'emprunts et de dons. C'était l'un des plus grands exploits par flash loan de l'histoire de la DeFi.

L'idée critique est la suivante : les flash loans ne créent pas de vulnérabilités — ils amplifient celles qui existent déjà. Le bug est toujours dans le protocole exploité, pas dans le flash loan lui-même. Un protocole avec un oracle de prix manipulable est vulnérable, que l'attaquant utilise un flash loan ou son propre capital. Les flash loans rendent simplement possible pour n'importe qui d'exploiter le bug, sans avoir besoin de millions de dollars dans son propre portefeuille.

Pourquoi ne pas simplement interdire les flash loans ?

Après chaque exploit majeur par flash loan, la question revient : pourquoi ne pas simplement supprimer les flash loans ? La réponse est que cela causerait plus de tort que de bien, et que ce n'est peut-être même pas possible.

Les flash loans sont une primitive fondamentale de la DeFi composable. Ils émergent naturellement du modèle de transaction atomique utilisé par toutes les blockchains. Les interdire signifierait restreindre la façon dont les smart contracts peuvent interagir entre eux — sapant la composabilité qui rend la DeFi puissante.

Interdire les flash loans tuerait également tous leurs usages légitimes. Les arbitragistes qui maintiennent l'efficacité des prix entre les plateformes, les liquidateurs qui maintiennent la solvabilité des protocoles de prêt, et les utilisateurs qui souhaitent refinancer ou échanger des collatéraux perdraient tous l'accès à un outil critique.

La vraie solution est de construire des protocoles résistants à la manipulation par flash loan. Cela signifie une meilleure conception des oracles (utiliser des prix moyens pondérés dans le temps plutôt que des prix spot, agréger à partir de nombreuses sources), des mécanismes de gouvernance exigeant que les jetons soient détenus pendant une période minimale avant de voter, et des coupe-circuits détectant et bloquant les transactions suspectes. Le risque doit être géré au niveau du protocole, et non en restreignant les outils disponibles pour les utilisateurs.

Flash loans vs prêts classiques

Qui peut utiliser les flash loans ?

Les flash loans ne sont pas une fonctionnalité "en un clic". Pour exécuter un flash loan, vous devez écrire un smart contract qui emprunte les fonds, exécute votre stratégie et rembourse le prêt — le tout en une seule transaction. Cela nécessite des connaissances en programmation Solidity et une compréhension des protocoles DeFi avec lesquels vous interagissez.

Cela dit, des outils existent pour abstraire cette complexité. Des plateformes comme Furucombo et DeFi Saver fournissent des interfaces sans code ou à faible code permettant aux utilisateurs de construire des transactions de flash loan via une interface visuelle. Ces outils gèrent la création du smart contract en arrière-plan, rendant les flash loans accessibles aux utilisateurs ne sachant pas coder.

Même avec ces outils, les flash loans restent de la DeFi avancée. Comprendre les coûts de gas, le slippage, l'ordre des transactions et les mécanismes spécifiques de chaque protocole est essentiel. L'arbitrage par flash loan, en particulier, est extrêmement compétitif — des bots automatisés s'affrontent pour exécuter les opportunités en quelques millisecondes, et la plupart des stratégies d'arbitrage simples ont déjà été capturées par des opérateurs sophistiqués.