閃電貸是什麼，它怎麼做到「無抵押借貸」的？它依賴一個區塊鏈的核心特性：原子性（Atomicity）。一筆區塊鏈交易是「原子性」的，意思是它要麼完整執行、要麼完全回滾，不存在執行到一半的狀態。閃電貸把「借款」「操作」「還款」三個步驟全部打包在同一筆交易裡。如果到這筆交易結束時，借款連同手續費沒有還回去，整筆交易就會自動回滾到最初狀態——就好像這筆借款從未發生。因此，貸方完全不面臨還不回來的風險，所以不需要你拿任何資產當抵押。這個設計讓你理論上可以在一筆交易裡借出幾千萬美元，只要你在同一筆交易結束前還回去就可以。
閃電貸有哪些合法的用途？有幾個在 DeFi 裡頗有價值的使用場景。第一，無資本套利：不同交易所或流動性池之間的同一個幣可能有短暫的價差，過去要套利需要自己先備好資金；閃電貸讓你不用持有任何本金，借出資金做完套利、還款、利潤全在同一筆交易裡。第二，清算：借出資金去清算抵押不足的倉位、賺取清算獎勵，不用自己先準備大筆資本。第三，抵押品互換：在借貸協議裡，一次性把你的抵押品從 A 換成 B，不必分多步操作、避免中間產生清算風險。第四，自救：如果你在某個協議的倉位快被清算，可以用閃電貸借錢補充抵押品、再把倉位取回，一筆交易完成而不必在外部先籌資。這些都是真實的效率提升，是閃電貸「把複雜的資本運作濃縮進一筆交易」的合法體現。
閃電貸攻擊是怎麼運作的，為什麼它造成那麼多損失？攻擊者最常用的方式是結合「預言機操縱」：先用閃電貸借出大量資金，砸低或拉高某個流動性較淺的交易對的價格，讓某些依賴這個價格的協議產生錯誤估值；在這個被人為扭曲的窗口裡，攻擊者利用協議的錯誤判斷完成剝削性操作（例如用被低估的抵押品借出超額資金）；整套操作在同一筆交易結束前完成並歸還閃電貸。由於這一切發生在一筆交易的毫秒之間，事後鏈上紀錄雖然清楚，但幾乎無法即時阻止。這類攻擊歷史上已造成數億至數十億美元的損失。根源是：很多協議使用單一的、可被操控的現貨價格作為「真實價格」來源，而不是更難被操控的時間加權平均價或多源預言機。
身為使用者或投資人，理解閃電貸的風險有什麼實際意義？閃電貸攻擊對你最直接的影響是：你存入協議的資金，可能因為協議本身的架構缺陷（尤其是預言機設計）而在你不知情、無法介入的情況下被搬空。防禦面要注意的幾件事：第一，協議用什麼價格來源很關鍵——優先使用採用時間加權平均預言機（TWAP）或多源價格的協議，而不是單一現貨報價；第二，協議有沒有通過包含閃電貸攻擊向量的專業安全審計；第三，流動性越深的協議，通常越難被閃電貸操控，但不代表不可能。此外，閃電貸本身不是你應該恐懼、而是應該理解的工具：它讓 DeFi 更有效率，只要協議設計得好，閃電貸根本找不到可以剝削的空間——這是協議設計好壞的試金石，也是你選擇投入資金時很值得查的一個面向。
用一個攻擊情境感受閃電貸的威力。假設有個 DeFi 借貸協議，它的抵押品估值完全依賴某個 DEX 交易對的即時現貨價格，而那個交易對的流動性很淺。
攻擊者的操作，全部在同一筆交易裡完成。第一步，向閃電貸協議借出 1 億美元。第二步，把大部分資金砸進那個流動性淺的交易對，把某個代幣的價格瞬間壓低 80%。第三步，因為借貸協議的估值系統此刻讀到的是被砸低後的「錯誤價格」，攻擊者用大量被嚴重低估的代幣當抵押品，借出協議裡的大量真實資產（例如 ETH 或穩定幣）。第四步，把砸低價格時動用的資金抽回，讓價格回升，歸還閃電貸和手續費。整個過程在一筆交易的一瞬間內完成，協議裡的資金就這樣被搬空了一大截，攻擊者淨賺數百萬到數億不等。
這個攻擊不需要攻擊者本來有任何資本，它利用的是閃電貸提供的「瞬間資本」與協議本身的設計漏洞（單一現貨預言機）的組合。被攻擊的協議通常在事後修改預言機設計，但損失的資金無法追回。
閃電貸最核心的取捨，是「資本效率極大化」與「協議安全要求極高化」之間的張力。對整個 DeFi 生態，它帶來的好處是真實的：讓資本利用效率大幅提升、讓沒有資本的人也能參與套利與清算、讓整個市場價格更有效率。但代價是：任何把「閃電貸」列為威脅的安全向量，都要求協議設計得更嚴謹——尤其是預言機的設計、重入保護、以及對極端市場情況的模擬。閃電貸的存在，等於持續給 DeFi 協議施加「設計要經得起最壞情況」的壓力。這對設計良好的協議是良性壓力；對設計草率的協議，則是隱藏的倒計時炸彈。從投資者角度看，閃電貸風險不是你能直接規避的，但它是你評估「這個協議的安全投入值不值得信任」的一個重要試金石。