X 100グローバル、3議席の上院が乗っ取られ数百万ドルの損失

X 100 Globalのガバナンス攻撃で数百万ドルが流出、トークンは96%暴落

2026年、またしてもハッキングの一日だ。多数のオンチェーン・セキュリティアラートによれば、3議席の統治上院を中核に据えた暗号資産プロジェクトは、攻撃者が2議席を買い取ってすぐにトレジャリーから数百万ドルを抜き取ったとされ、瞬間的な民主主義がいかに危険になり得るかを痛感したという。

イーサリアム基盤のプロジェクトであるX 100 Globalは、10月24日に特異なガバナンス乗っ取りを受け、セキュリティ企業Blockaidが追跡したところ、Aaveのフラッシュローン作戦により約485万ドル相当のUSDTが引き出されたという。その後、Xトークンは96％超下落し、保有者は事実上流動性がほとんどない市場に直面することになった。

攻撃者は支配権を買い取り、トレジャリーを空にした

このエクスプロイトは、一般的なスマートコントラクトのコーディング欠陥を突くのではなく、X 100 Globalのガバナンス構造そのものを標的にした。セキュリティ企業Exvulが根本原因を詳細に説明している。報告によれば、攻撃者はAaveのフラッシュローンで約194万USDTを借り入れ、Xトークンを購入し、補助コントラクトを登録してプロジェクトの上院3議席のうち2議席を占有したという。

ここがポイントだ。ガバナンスには投票スナップショット、最低保有期間、実行遅延が欠けていた。そのため攻撃者は投票権を獲得し、悪意ある提案を承認し、ほぼ即座にトランザクションを実行できた。

あるトランザクションでは、プロジェクトのFreezerトレジャリーから40万Xトークンが攻撃者支配下の流動性プールへ送られ、トレジャリーには約36USDTが返された。その後、攻撃者はこれらのトークンを引き出し、正規のUniswap V3プールで売却した。

流動性消失の中で485万ドルが流出

Blockaid、Exvul、その他複数のオンチェーン・セキュリティチームおよび調査者は、トランザクション分析により、約485万USDTの収益に加え、3件のトランザクションにわたって約55万Xトークンが引き出されたことが特定されたと報告した。続く作業では、追加のUniswap V3流動性ポジションも標的となった。

市場への影響は深刻だった。Xは50〜60ドル帯から約1.75ドルへ急落し、下落率は96％を超えた。土曜日の分散型取引所（DEX）の取引データでは、特定の流動性指標がわずか数ドルまで低下していることが示され、有意な売り注文は異常なスリッページにさらされる状況となった。

Blockaidが最新の更新で言及した時点では、Freezerには約1,220万Xトークンが残っていたと報告されており、当時この事案はまだ進行中とされていた。執筆時点（10/24 午後3時（米東部時間））で、プロジェクトからの公式声明は直ちには出ていない。中核的な脆弱性は驚くほど単純だった。3議席で統治されるトレジャリーが、外部者に支配的多数を購入され、待機時間なしに意思決定を実行され得る状態にあったようだ。