X 100 Global verliert Millionen, da ein Dreisitz-Senat gekapert wird

X-100-Global-Governance-Angriff zieht Millionen ab, während der Token um 96% abstürzt

Wieder ein Tag, wieder ein Hack im Jahr 2026. Laut einer Vielzahl von Onchain-Sicherheitswarnungen hat das Kryptowährungsprojekt, das um einen dreisitzigen, regierenden Senat aufgebaut ist, erfahren, wie gefährlich unmittelbare Demokratie werden kann, wenn Angreifer Berichten zufolge sich in zwei Sitze einkauften und umgehend Millionen aus der Treasury leerten.

X 100 Global, ein Ethereum-basiertes Projekt, erlitt am 24. Okt. eine einzigartige Governance-Übernahme, die die Sicherheitsfirma Blockaid auf eine Flash-Loan-Operation zurückführte, bei der etwa 4,85 Millionen USDT abgezogen wurden. Sein X-Token brach anschließend um mehr als 96% ein, sodass Inhaber mit einem Markt mit praktisch keiner Liquidität konfrontiert sind.

Angreifer kauften die Kontrolle und leerten die Treasury

Der Exploit zielte auf die Governance-Architektur von X 100 Global ab, statt einen klassischen Smart-Contract-Codierungsfehler auszunutzen. Die Sicherheitsfirma Exvul erklärte die Ursache im Detail. Angreifer sollen über einen Aave-Flash-Loan etwa 1,94 Millionen USDT geliehen, X-Token gekauft und Hilfs-Contracts registriert haben, um zwei der drei Senatssitze des Projekts zu besetzen.

Der Haken: In der Governance fehlten Voting-Snapshots, Mindesthaltefristen und Ausführungsverzögerungen. Dadurch konnten die Angreifer Stimmrechte erwerben, bösartige Vorschläge genehmigen und Transaktionen nahezu sofort ausführen.

Eine Transaktion übertrug 400.000 X-Token aus der Freezer-Treasury des Projekts in einen von Angreifern kontrollierten Liquiditätspool und brachte der Treasury etwa 36 USDT zurück. Die Angreifer zogen diese Token anschließend ab und verkauften sie über einen legitimen Uniswap-V3-Pool.

4,85 Millionen USDT entnommen, während die Liquidität verschwindet

Blockaid, Exvul und mehrere weitere Onchain-Sicherheitsteams und Ermittler berichteten, dass die Transaktionsanalyse Erlöse von etwa 4,85 Millionen USDT sowie rund 550.000 X-Token identifizierte, die über drei Transaktionen abgezogen wurden. Nachfolgende Operationen zielten auf zusätzliche Uniswap-V3-Liquiditätspositionen.

Die Marktauswirkungen waren gravierend. X fiel von der Spanne von 50–60 $ auf etwa 1,75 $, ein Rückgang von mehr als 96%. Daten zum Handel an dezentralen Börsen (DEX) am Samstag zeigten, dass bestimmte Liquiditätskennzahlen auf nur wenige Dollar sanken, wodurch sinnvolle Verkaufsaufträge anfällig für außergewöhnlich hohen Slippage wurden.

Berichten zufolge befanden sich zum Zeitpunkt von Blockaids zuletzt zitierter Aktualisierung, als der Vorfall noch als andauernd beschrieben wurde, noch etwa 12,2 Millionen X-Token im Freezer. Zum Zeitpunkt der Erstellung wurde keine unmittelbare offizielle Stellungnahme des Projekts veröffentlicht (15 Uhr EST am 24.10.). Die zentrale Schwachstelle war bemerkenswert einfach: Eine durch drei Sitze verwaltete Treasury erlaubte es offenbar Außenstehenden, eine kontrollierende Mehrheit zu kaufen und ihre Entscheidungen ohne Wartezeit auszuführen.