Флеш-позика (flash loan) в DeFi: комісія 0,05% і $80 замість $2 000 штрафу

Коротко (TL;DR)

Флеш-позика (flash loan, в англомовних джерелах — flash loans) — це позика без застави, яку видають і повертають усередині однієї транзакції блокчейну. Немає перевірки платоспроможності, немає забезпечення, немає строку: якщо гроші не повернулися до кінця транзакції, мережа скасовує її повністю, і позики наче не було. Навколо цієї механіки живуть два стійкі міфи — «флеш-позика це діра в DeFi» і «на ній можна заробити без стартового капіталу». Нижче видно, чому обидва хибні.

• Комісія Aave V3 становить 0,05%, а не 0,09%. Ставка 0,09%, яка кочує статтями, належить Aave V2 зразка 2021 року. Правильну цифру ми звірили трьома способами: документація, код розгортання і прямий виклик на живому контракті 28 серпня 2026 року.
• Два джерела з чотирьох безкоштовні взагалі. У Morpho Blue премії немає в самому коді функції, у Balancer виклик getFlashLoanFeePercentage() повертає нуль. Вартість капіталу для операції дорівнює нулю — платити доводиться лише за свопи та газ.
• Вкладнику пулу флеш-позики не приносять нічого. В Aave V3 станом на 28 серпня 2026 року вся премія йде до скарбниці DAO. Розхожа теза «флеш-позики годують постачальників ліквідності» сьогодні неправильна.
• Найвимірніша користь для звичайного позичальника — самоліквідація. На позиції з боргом $80 000 штраф ліквідатору становить $2 000, а закриття позиції власноруч через флеш-позику — $80,10. Різниця у 25 разів, через безкоштовне джерело — майже у 50.
• «Заробіток без грошей» упирається в арифметику. Щоб арбітраж на $100 000 вийшов бодай у нуль, розрив цін між майданчиками має становити від 0,100% до 0,400% залежно від маршруту. І це нижня межа, без урахування конкуренції ботів.
• Кнопки «взяти флеш-позику» немає й не буде. Позичальником зобов’язаний бути контракт із функцією зворотного виклику, а у звичайного гаманця таких функцій не буває. А от газ бар’єром бути перестав: транзакція на 600 000 газу коштувала 6 центів.
• Галузевий стандарт зняв із флеш-позики ярлик вразливості. OWASP перейменував категорію на «атаки, яким флеш-позика СПРИЯЄ», і прямо пише, що сам примітив не вразливий.

Позика без застави можлива тому, що транзакція скасовується цілком

Звичайний кредит тримається на тому, що кредитор оцінює ризик неповернення: дивиться на заставу, історію, платоспроможність. Флеш-позика влаштована інакше — ризику неповернення в неї просто немає. Позика і повернення живуть усередині однієї транзакції, а транзакція в блокчейні або виконується цілком, або не виконується взагалі. Цю властивість називають атомарністю, і саме вона заміняє собою заставу.

Цей розбір — урок блоку «Лендинг і плече» курсу «DeFi: від першої транзакції до профі-стратегій».

Документація Aave формулює умову без манівців: якщо до кінця транзакції потрібної суми немає — через брак балансу, відсутність дозволу на списання чи недостатнє забезпечення, — транзакція скасовується. Документація Balancer каже те саме іншими словами: видача і повернення зобов’язані відбутися в одній транзакції. Два незалежні протоколи описують одну й ту саму умову, і це не збіг, а будова механіки.

BINANCE COPY TRADINGКопітрейдинг на BinanceВідкрита статистика трейдерів, старт з $10, вимкнення одним кліком.Обрати трейдера

Усередині транзакції відбувається однакова послідовність в усіх чотирьох великих джерелах:

Looping (зациклена позика): спред 0,058 п.п. і три механізми втрат

Health factor і ліквідація застави на Aave: запас міцності коштує $449 на рік

Поганий борг у кредитуванні: Aave тримає $130 млн, Morpho — $181 млн

Фіксована ставка в DeFi: три майданчики, $461 млн і 0,93% ринку

DEX-агрегатори та intent-аукціони: поріг $5 800 і ціна помилки в пулі

1. Контракт позичальника викликає функцію флеш-позики в пулу і каже, який актив і скільки йому потрібно.
2. Пул переказує гроші на адресу контракту позичальника.
3. Пул викликає в цього контракту функцію зворотного виклику — заздалегідь обумовлену за іменем.
4. Усередині неї позичальник робить те, заради чого все затівалося: обмінює актив на децентралізованій біржі, гасить чужий або власний борг, забирає заставу, перекладає позицію.
5. Управління повертається пулу, і він списує з контракту позичальника суму позики плюс премію.
6. Якщо списувати нічого — увесь ланцюжок скасовується, стан мережі лишається попереднім.

Звідси одразу три наслідки. Застава не потрібна, бо неповернення технічно неможливе. Кредитного ризику в пулу немає, бо гроші або повернулися, або не йшли. А невдала спроба обходиться позичальнику лише в газ — плату за обчислення мережі. За медіаною базової комісії Ethereum за 28 серпня 2026 року транзакція на 600 000 газу коштувала $0,062, тобто шість центів. Помилитися в розрахунках тут дешево; дорого — помилитися в коді.

Хто дає флеш-позику і почім: Aave 0,05%, Morpho і Balancer — нуль

Ставки нижче зняті не зі статей, а з першоджерел: офіційної документації, вихідного коду і прямих викликів до контрактів у мережі Ethereum. Ончейн-знімок зроблено 28 серпня 2026 року на блоці 25 851 847.

Цифра 0,09% — це ставка Aave V2 зразка 2021 року, і до ринків V3 вона стосунку не має. Застереження тут важливе: називають її не всі. З розібраних матеріалів відсоток узагалі наводять лише тексти, написані до 2024 року, а два найсвіжіші довідники у видачі не називають комісію в жодному вигляді — тобто читач або отримує застарілу цифру, або не отримує жодної. Джерело застарілої легко простежити: розбір ForkLog від 5 серпня 2021 року дає набір ставок Aave 0,09%, Uniswap 0,3%, CollateralSwap 0,29%, C.R.E.A.M. Finance 0,03%, UniLend 0,05%, а український переказ від 25 вересня 2023 року повторює той самий набір рядок у рядок. Кумедніше інше: застарілі 0,09% друкує і чинна база знань DeFi Saver — інструмента, яким флеш-позики беруть просто сьогодні. На позиці $100 000 різниця між 0,09% і 0,05% — це $90 проти $50.

Два уточнення, яких немає в жодному розборі теми українською.

В Aave не одна флеш-позика, а дві. Функція flashLoan() дозволяє позичити одразу з кількох резервів і залишити борг відкритим, перетворивши його на звичайну позику під заставу; для неї ж комісія може обнулятися. Функція flashLoanSimple() працює з одним резервом, ощадливіша за газом, але залишити борг не дає. Обидва варіанти вимагають ту саму функцію зворотного виклику executeOperation().

У Uniswap це формально не позика. Функція flash() видає обидва токени пари й чекає назад суму плюс звичайну торгову комісію того пулу, з якого брали. Окремої ставки «за флеш-позику» тут не існує, а повернути можна й другий токен пари — тому механіку правильніше називати свопом із відкладеною оплатою. Ходова фраза «в Uniswap флеш-позика коштує 0,3%» описує не властивість механіки, а комісію одного конкретного рівня пулу.

BINANCE COPY TRADINGКопітрейдинг на BinanceВідкрита статистика трейдерів, старт з $10, вимкнення одним кліком.Обрати трейдера

Межа суми задається не правилами, а ліквідністю джерела: у Morpho доступний увесь баланс контракту, тобто ліквідність і застави всіх ринків разом, в Aave — резерв конкретного активу.

Комісію Aave платять не вкладникам, а скарбниці протоколу

Найчастіше запитання вкладника звучить так: якщо хтось позичає з пулу, куди я поклав гроші, чи дістається мені частина премії? Станом на 28 серпня 2026 року відповідь — ні, жодного цента.

У контракті Aave V3 параметр FLASHLOAN_PREMIUM_TO_PROTOCOL дорівнює 10000, тобто 100% премії належить протоколу. У коді це видно порядково: уся сума totalPremium нараховується в reserve.accruedToTreasury — скарбницю DAO. Постачальник ліквідності не отримує від флеш-позик нічого, і поширена теза «флеш-позики приносять дохід постачальникам ліквідності» наразі просто хибна.

Важливо, що це параметр управління, а не константа. У треді на форумі управління Aave від 20 лютого 2025 року та сама величина читається як 4 базисні пункти — тоді майже вся премія діставалася вкладникам. Отже, і зворотна зміна можлива, і будь-яку цифру такого штибу має сенс перевіряти на контракті, а не в статті.

Ще дві деталі з коду, яких у популярних розборах немає взагалі:

• Комісія округлюється вгору. У коді стоїть params.amount.percentMulCeil(params.flashLoanPremium) — округлення на користь протоколу, а не позичальника.
• Для схвалених позичальників комісії немає. Рядок vars.flashloanPremium = params.isAuthorizedFlashBorrower ? 0 : params.flashLoanPremium обнуляє премію адресам зі списку, затвердженого управлінням. Документація підтверджує: комісія не береться зі схвалених flashBorrowers.

Самоліквідація: $80 замість $2 000 штрафу ліквідатору

Це головний розрахунок уроку і найпрактичніший сценарій для людини, яка сама нічого не атакує, а просто тримає позику під заставу. Усі вхідні параметри зняті з контрактів Aave 28 серпня 2026 року, а не вигадані.

Візьмімо позицію: 40 WETH у заставі та $80 000 боргу в USDC. За ціною оракула Aave $2 497,92 за WETH застава коштує $99 916,80. Поріг ліквідації для WETH в Aave V3 у мережі Ethereum дорівнює 83,00%, тому показник здоров’я позиції становить 1,0366, а ціна ліквідації — $2 409,64 за ETH. Поки ціна вища, все гаразд.

Тепер ціна падає до $2 380. Далі є два шляхи.

Шлях перший: нічого не робити. Приходить ліквідатор, гасить половину боргу ($40 000) і забирає застави на $42 000, тобто 17,6471 ETH. Різниця — премія ліквідатора, для позичальника це штраф. Параметр liquidationBonus у WETH дорівнює 10500, тобто 105,00%: ліквідатор отримує застави на 5% більше, ніж гасить. Знаменник тут важливий: 5% обчислюються від ПОГАШУВАНОЇ половини боргу, а не від усієї позиції. Половина від $80 000 — це $40 000, отже штраф становить $2 000.

Шлях другий: закрити позицію самому в одній транзакції. Схема така: позичити $80 000 флеш-позикою, погасити весь борг, забрати звільнену заставу, обміняти потрібну частину WETH на USDC і повернути позику з премією. Витрати складаються з трьох частин: премія Aave 0,05% від $80 000 — це $40,00; комісія пулу ETH/USDC із рівнем 0,05% — $40,04; газ — $0,06. Разом $80,10.

Заощадження — $1 919,90, тобто операція дешевша за штраф у 25,0 раза. Через безкоштовне джерело розрив зростає до 49,9 раза. Це і є відповідь на питання, навіщо флеш-позика людині, яка не пише ботів.

Застереження, без яких розрахунок був би нечесним. Ми взяли стандартний режим Aave, де ліквідатор гасить не більше половини боргу; за показника здоров’я нижче 0,95 він може погасити все одразу. Своп пораховано за пулом із рівнем комісії 0,05% — у дорожчому пулі цифра зросте. Проковзування, тобто зсув ціни від розміру власної угоди, до розрахунку не входить узагалі: на $80 000 у глибокому пулі ETH/USDC воно невелике, але нулем його вважати не можна.

Заміна застави та рефінансування без продажу позиції

Другий і третій легальні сценарії дають вигоду не у відсотках, а в тому, чого не доводиться робити. Зазвичай, щоб поміняти заставу або переїхати на інший майданчик, позицію треба закрити: продати частину активів, погасити борг, відкрити все заново. Флеш-позика прибирає проміжний стан — позичальник не залишається ані без застави, ані без боргу, ані з обнуленою позицією.

Заміна застави. Усередині однієї транзакції: флеш-позика гасить увесь борг, застава звільняється, частина застави міняється на інший актив, борг відкривається заново вже під нову заставу, позика повертається з премією. Продажу позиції при цьому не відбувається — на виході той самий борг, але забезпечений, приміром, не волатильним токеном, а стейблкоїном.

Рефінансування. Той самий ланцюжок, але новий борг відкривається на іншому майданчику — там, де ставка нижча. Флеш-позика тут працює як міст між двома протоколами: вона закриває борг в одного і відкриває в іншого, а між цими двома діями позичальник не залишається без забезпечення на жоден блок.

Обидва сценарії протоколи вважають штатними і називають їх самі. Aave перелічує серед застосувань арбітраж і ліквідації, Morpho в документації наводить п’ять сценаріїв, зокрема самоліквідацію та заміну застави. Це не сіра зона і не експлуатація недогляду — це функція, заради якої механіку й написано.

Арбітраж: який розрив цін потрібен, щоб флеш-позика окупилася

Найпопулярніша обіцянка навколо теми звучить як «позичив, купив дешевше, продав дорожче, повернув — прибуток твій, капітал не потрібен». Перша частина правдива: капітал справді не потрібен. Друга частина замовчує арифметику.

Порахуймо поріг беззбитковості на позиці $100 000. У маршруті завжди три платежі: премія за позику, комісія першого пулу і комісія другого пулу. Плюс газ, який на тлі решти майже не видно.

Знаменник в усіх трьох рядках один — розмір позики $100 000. І це нижня межа, а не очікуваний прибуток. До розрахунку не входять дві речі, які в реальній конкуренції і з’їдають маржу.

Перша — проковзування: угода на $100 000 сама рухає ціну в пулі, і що менший пул, то сильніше. Друга — пріоритетна комісія, тобто надбавка за те, щоб транзакція потрапила до блоку раніше за чужу. За помітний розрив цін конкурують боти, які бачать ту саму можливість тієї ж миті й готові віддати за місце в блоці значну частину майбутнього прибутку. Сам розрив при цьому тримається секунди.

Звідси практичний висновок: «заробіток без грошей» — це не вигадка, а сильно недомовлена правда. Капітал не потрібен, потрібен робочий контракт, інфраструктура швидкої відправки транзакцій і готовність змагатися з професійними учасниками. Для роздрібного користувача очікувана дохідність такого заняття близька до нуля, а витрати на розробку — цілком реальні.

Кнопки «взяти флеш-позику» немає: потрібен контракт із колбеком

Причина недоступності флеш-позики роздрібу рівно одна, і вона технічна. Позичальником зобов’язаний бути смартконтракт — програма в блокчейні, у якої пул може викликати функцію. Саме на цьому виклику тримається вся механіка: пул віддає гроші й одразу передає управління позичальнику, а потім забирає своє назад.

У кожного джерела ім’я цієї функції своє:

• Aave вимагає, щоб контракт реалізував інтерфейс IFlashLoanReceiver або IFlashLoanSimpleReceiver із функцією executeOperation().
• Morpho викликає onMorphoFlashLoan(amount, data) і перевіряє, що той, хто викликає, — сам контракт Morpho.
• Balancer викликає receiveFlashLoan(), і документація прямо вимагає всередині неї перевірку require(msg.sender == address(balancerVault)).
• Uniswap викликає uniswapV3FlashCallback().

У звичайного гаманця, який у термінології Ethereum зветься зовнішнім акаунтом (EOA), функцій немає взагалі — це адреса з балансом і ключем, а не програма. Викликати в нього executeOperation() неможливо. Тому «кнопки флеш-позики» в гаманці не існує не тому, що її поки не зробили, а тому, що викликати в гаманці нічого.

І ось тут важливий поворот, якого немає в старих матеріалах. Усі вони називають головним бар’єром газ: мовляв, флеш-позика з’їдає стільки комісії, що окупається лише на великих сумах. Станом на 28 серпня 2026 року це неправильно. Базова комісія мережі Ethereum за вибіркою з десяти блоків трималася між 0,0372 і 0,0450 gwei за медіани 0,0411 gwei. За ціни ETH $2 497,92 це дає $0,062 за транзакцію на 600 000 газу і $0,026 за транзакцію на 250 000. Бар’єр нікуди не подівся, але він змістився: перешкода тепер не в комісії мережі, а в потребі написати й перевірити код.

Конструктори на кшталт DeFi Saver: у скільки обходиться зручність

Коду можна уникнути — не написавши власний контракт, а скориставшись чужим. Так працюють конструктори сценаріїв: користувач збирає ланцюжок дій в інтерфейсі, а сервіс виконує його через власний контракт, який уміє і брати флеш-позику, і робити свопи, і чіпати позиції в кредитних протоколах.

Живий приклад станом на 28 серпня 2026 року — DeFi Saver: збирач сценаріїв, автоматизація підвищення та зниження плеча, 15 під’єднаних протоколів у 5 мережах. Джерел флеш-позики в інтерфейсі п’ять — Aave, Morpho, Maker, Spark і CurveUSD, — і за замовчуванням сервіс бере позику в безкоштовного.

Позика безкоштовна, але операція — ні. Тарифи сервісу влаштовані так: своп між стейблкоїнами коштує 0,01%, між корельованими активами — 0,10%, між некорельованими (приміром, ETH у USDC) — 0,25%, а кожне спрацювання автоматизації додає 0,05% від розміру операції. Порахуймо ту саму самоліквідацію боргу $80 000, що й вище.

Арифметика проста: 0,25% від $80 000 — це $200 сервісу, плюс ті самі $40,04 комісії пулу і $0,06 газу. Зручність обходиться втричі дорожче за власний код — і все одно у 8,3 раза дешевше за бездіяльність. Це і є чесна відповідь на питання, що конструктори реально дають: вони не скасовують витрати, вони міняють розробку на відсоток від суми.

Про інструменти зі старих списків — окремо й обережно. Кореневі домени Furucombo та Instadapp станом на 28 серпня 2026 року відповідають, а самі застосунки за адресами app.furucombo.app і app.instadapp.io не відповідають узагалі. Правильне формулювання тут — «застосунок недоступний», а не «сервіс закрито». C.R.E.A.M. Finance, яка фігурує у списках джерел флеш-позики зразка 2021 року, з обігу пішла.

Ризики флеш-позики: чим платить позичальник і чим — вкладник пулу

Механіка чесна й перевірювана, але безкоштовних місць у ній немає. Зібрали те, що реально може коштувати грошей.

• Помилка у власному контракті коштує всієї транзакції. Morpho прямо попереджає: без дозволу на списання повернення не буде і транзакція скасується, а активи не можна залишати всередині контракту флеш-позики. Власна програма — це і власний ризик, який ніхто за вас не перевірить.
• Комісія — параметр управління, а не константа. Документація Aave окремо застерігає, що ставка змінюється голосуванням. Поділ премії вже змінювався: 4 базисні пункти в лютому 2025 року проти 100% до скарбниці станом на 28 серпня 2026 року.
• Поріг арбітражу — нижня межа. Пріоритетна комісія та проковзування до розрахунку 0,100–0,400% не входять, а розриви цін тримаються секунди.
• Безкодовий шлях дорожчий утричі. $240,10 проти $80,10 на одній і тій самій операції — плата за те, щоб не писати контракт.
• Застарілі цифри в джерелах — самостійний ризик. Ставка 0,09% стоїть і в статтях 2021 року, і в чинній базі знань живого інструмента. Розрахунок за нею завищує витрати майже вдвічі, а рішення «невигідно» ухвалюється за неправильною цифрою.
• Вкладнику протоколу флеш-позики можуть коштувати грошей, навіть якщо він ними не користується. В усіх розібраних нижче інцидентах втрат зазнали звичайні вкладники: Bunni, zkLend, Summer.fi, Allbridge Core.

Флеш-позика не вразливість: OWASP перейменував категорію 2026 року

Теза «флеш-позика — це діра в DeFi» трималася на тому, що в галузевих переліках ризиків вона стояла окремим рядком. Наразі це вже не так: стандарт OWASP Smart Contract Top 10 змінив і назву категорії, і її місце.

Було — «SC07:2025 Flash Loan Attacks», тобто «флеш-позикові атаки», сьоме місце. Стало — «SC04:2026 Flash Loan–Facilitated Attacks», тобто «атаки, яким флеш-позика СПРИЯЄ», четверте місце. Перейменування і перенесення підтверджуються на двох незалежних майданчиках: сторінками редакцій 2025 і 2026 років на сайті стандарту та файлом README у репозиторії проєкту на GitHub.

Формулювання самого стандарту не лишає місця для тлумачень. Розділ відкривається так:

Flash loans are not inherently vulnerable — they are a legitimate DeFi primitive — but they grant attackers arbitrarily large, transient capital within a single transaction.

Українською: флеш-позики самі собою не вразливі, це законний примітив DeFi; але вони дають нападнику скільки завгодно великий тимчасовий капітал усередині однієї транзакції. Далі стандарт перелічує типи зачеплених контрактів і розбирає, як діє нападник, а завершує розділ висновком:

When underlying weaknesses in business logic (SC02), oracles (SC03), arithmetic (SC07), or access control (SC01) exist, flash loans act as a force multiplier, turning small bugs into catastrophic exploits.

Тобто: коли в бізнес-логіці, оракулах, арифметиці чи контролі доступу є слабке місце, позика працює як підсилювач — перетворює дрібну помилку на катастрофу. Коди в дужках — сусідні пункти того самого стандарту, і це пряма вказівка, де шукати справжню причину.

Стандарт при цьому розвів флеш-позику та маніпуляцію ціною оракула по різних пунктах: маніпуляція дістала власний номер SC03:2026. Це саме та межа, яку в популярних текстах постійно стирають. Механіку того, як підробляють ціну активу і чому усереднення ціни в часі рятує не завжди, ми розбирали окремо — там предмет, тут інструмент.

Bunni, zkLend, Summer.fi, Allbridge: що ламалося насправді

Чотири задокументовані інциденти, де в кожному називається не «флеш-позика», а конкретна діра, яку вона підсилила.

Розмір позики в атаці на Bunni ми наводимо за стандартом OWASP; розбір аудиторів Halborn суми позики не називає взагалі, зате називає корінь — функція виведення мала округляти простоюючий баланс униз, а через недогляд робила навпаки. Атака складалася з 44 зчеплених крихітних виведень, і кожне лишало в пулі трохи менше, ніж мало б. Halborn формулює висновок прямо: знайди аудит цю помилку округлення, експлойту не було б.

Наші власні розбори двох свіжих випадків дають рідкісну змогу порахувати співвідношення «позичено до здобичі». Нападник вивів $6 млн із Summer.fi, позичивши для цього $65,4 млн, — позика виявилася у 10,9 раза більшою за здобич. У другого випадку пропорція зворотна: міст Allbridge Core втратив $1,65 млн за позики $1,12 млн у solana-протоколу Kamino, тобто позика становила 0,68 від виведеної суми.

Із цих двох чисел випливає головне. Побутове уявлення «позичив мільярд — украв мільярд» не працює: позика не каса, а важіль. Вона потрібна, щоб дотягнутися до масштабу, за якого дрібна помилка дає помітні гроші. У Bunni розрив становив 1,3 відсоткового пункту за ітерацію — на позичених 3 млн USDT це близько $39 000 за прохід, а на власних $10 000 ті самі 1,3 пункту дали б $130. Це модель порядку величин, а не реконструкція атаки: реальний прибуток залежав від структури пулу. Але вона пояснює, навіщо нападнику позика: без неї та сама помилка не окупила б навіть газ.

Частка флеш-позикових атак: 54% у 2020 році і менше 1% у 2025-му

Відчуття «навколо суцільні флеш-позикові атаки» — слід 2020–2021 років, коли так і було. Далі галузь навчилася закривати цей клас дір, і цифри це показують. Нижче — дані з явною атрибуцією, бо різні набори рахують різні величини.

Головний вектор 2026 року — не транзакційні трюки, а компрометація ключів та облікових даних. Це нудний, людський спосіб втратити гроші, і на нього припадає майже три чверті вкраденого.

Тут же — попередження про ярлики. Найгучніший «флеш-позиковий» інцидент 2025 року, атака на Balancer 3 листопада 2025 року на $128,64 млн у шести мережах, флеш-позиковим, можливо, не був узагалі. Технічний розбір Check Point Research флеш-позику не згадує жодного разу й описує роботу через внутрішні баланси самого сховища протоколу; корінь там — округлення вниз під час масштабування чисел, що дає до 10% втрати точності за операцію, і цикл, повторений 65 разів усередині однієї транзакції. Натомість інша публікація винесла флеш-позики просто в заголовок і дала іншу суму — близько $116 млн. Висновок для читача простий: слова «флеш-позикова атака» в заголовку не означають, що позика взагалі брала участь.

Як перевірити, чи встоїть протокол, куди ви кладете гроші

Розділ стандарту OWASP із заходами захисту написано для розробників. Але його вимоги легко переформулювати в питання, які вкладник може поставити протоколу до депозиту — і на більшість із них відповідь є в публічній документації або звіті аудитора.

1. Звідки протокол бере ціну? Спот-ціна одного пулу — червоний прапорець: саме її рухають позиченими грошима. Усереднена в часі ціна або децентралізований оракул стійкіші, хоч і не абсолютні.
2. Чи є обмеження на блок або епоху? Стандарт вимагає обмежувати частоту чутливих операцій — ребалансувань, зміни часток, перерахунку балансів — і робити комісії такими, що зростають із розміром та частотою.
3. Чи обмежено розмір однієї операції? Стеля проковзування, максимальний розмір позиції, ліміт запозичення, обмеження зміни стану за одну транзакцію. Якщо обмежувачів немає, розмір атаки задає не протокол, а ліквідність чужого пулу.
4. Чи ганяли в аудиті сценарії з флеш-позикою? Стандарт вимагає моделювати їх просто в тестах і фазити послідовності з кількох викликів. Випадок Bunni показує ціну пропуску: помилка округлення пережила аудит і коштувала $8,4 млн.
5. Чи проєктувалася економіка з припущення «flash loans exist»? Це дослівна вимога стандарту: вважати, що в нападника є необмежений тимчасовий капітал. Протокол, чия модель ламається від чужих великих грошей, ламається за визначенням — питання лише в тому, коли хтось їх позичить.

Часті запитання

Чи можна взяти флеш-позику, якщо я не програміст? Безпосередньо — ні: виклик іде тільки з контракту з функцією зворотного виклику, а у звичайного гаманця таких функцій не буває. Опосередковано — так, через конструктори сценаріїв на кшталт DeFi Saver. Але платите ви там не за позику, а за впакування: сама позика береться в безкоштовного джерела, а своп усередині сценарію коштує 0,25% від суми.

Скільки насправді коштує флеш-позика? Станом на 28 серпня 2026 року: Aave V3 — 0,05% від суми, що підтверджено викликом на живому контракті; Morpho Blue і Balancer — нуль; Uniswap бере не премію, а звичайну торгову комісію свого пулу. Цифра 0,09%, яка ходить статтями, — це ставка Aave V2 зразка 2021 року, і на ринках V3 вона неправильна.

Чи правда, що флеш-позика дозволяє заробити без стартового капіталу? Капітал справді не потрібен, але потрібен робочий контракт і розрив цін вище за поріг беззбитковості — від 0,100% на позиці $100 000 за безкоштовного джерела. Поріг не враховує проковзування та надбавку за місце в блоці, а самі розриви тримаються секунди, і за них конкурують боти. Очікувана дохідність роздрібного арбітражу близька до нуля.

Флеш-позика — це вразливість DeFi? Ні. Стандарт OWASP у редакції 2026 року перейменував категорію на «атаки, яким флеш-позика сприяє», і прямо пише, що сам примітив не вразливий — він лише підсилює чужу помилку. Ламається завжди щось інше: округлення в розрахунках, облік часток, контроль доступу або ціна оракула, для якої в стандарті є окремий пункт.

Що буде, якщо я не поверну флеш-позику? Нічого страшного не станеться: транзакція скасується цілком, наче її й не було. Боргу не виникне, колекторів не буде, кредитна історія ні до чого — втратите тільки газ, а це станом на 28 серпня 2026 року близько шести центів за велику транзакцію. Саме тому пул і не вимагає застави.

Мої гроші лежать у пулі — чи заробляю я на чужих флеш-позиках? В Aave V3 станом на 28 серпня 2026 року — ні. Параметр FLASHLOAN_PREMIUM_TO_PROTOCOL дорівнює 10000, тобто вся премія нараховується до скарбниці DAO, а не постачальникам ліквідності. У Morpho Blue і Balancer комісії за флеш-позику немає взагалі, тому там ділити нічого. Параметр змінний: у лютому 2025 року розподіл був іншим.