X 100 글로벌, 3석 상원의원 선거가 납치되며 수백만 달러 손실

X 100 Global 거버넌스 공격으로 수백만 달러 유출…토큰 96% 폭락

2026년에도 또 다른 해킹이 발생했다. 수많은 온체인 보안 경보에 따르면, 3석으로 구성된 통치 상원을 중심으로 설계된 암호화폐 프로젝트 X 100 Global은 공격자들이 두 의석을 돈으로 매수한 뒤 곧바로 금고에서 수백만 달러를 빼내면서, 즉석 민주주의가 얼마나 위험해질 수 있는지를 뼈저리게 깨닫게 됐다.

이더리움 기반 프로젝트인 X 100 Global은 10월 24일 독특한 거버넌스 장악 공격을 겪었으며, 보안 업체 Blockaid는 이를 약 485만 달러 규모의 USDT를 빼내는 플래시 론 작업으로 추적했다. 이후 X 토큰은 96% 이상 붕괴해, 보유자들은 사실상 유동성이 거의 없는 시장에 직면했다.

공격자들이 지배권을 매수해 금고를 비우다

이번 익스플로잇은 일반적인 스마트 컨트랙트 코딩 오류를 파고든 것이 아니라 X 100 Global의 거버넌스 구조를 겨냥했다. 보안 업체 Exvul은 근본 원인을 상세히 설명했다. 공격자들은 Aave 플래시 론으로 약 194만 USDT를 빌린 뒤 X 토큰을 매수하고, 프로젝트의 3개 상원 의석 중 2개를 차지하기 위해 보조(헬퍼) 컨트랙트를 등록한 것으로 전해졌다.

문제는 여기였다. 거버넌스에는 투표 스냅샷, 최소 보유 기간, 실행 지연이 없었다. 그 결과 공격자들은 투표권을 확보하고 악성 제안을 승인한 뒤 거의 즉시 트랜잭션을 실행할 수 있었다.

한 트랜잭션에서는 프로젝트의 Freezer 금고에서 공격자가 통제하는 유동성 풀로 40만 X 토큰이 이동했으며, 금고로는 약 36 USDT만 되돌아왔다. 이후 공격자들은 해당 토큰을 빼낸 뒤 정상적인 Uniswap V3 풀을 통해 매도했다.

유동성 증발 속 485만 달러 유출

Blockaid와 Exvul, 그리고 그 밖의 여러 온체인 보안 팀 및 조사자들은 트랜잭션 분석을 통해 약 485만 달러 규모의 USDT 수익과 더불어, 3건의 트랜잭션에 걸쳐 약 55만 X 토큰이 유출된 것으로 확인됐다고 보고했다. 이후 작업은 추가적인 Uniswap V3 유동성 포지션을 겨냥했다.

시장 충격은 심각했다. X는 50~60달러대에서 약 1.75달러로 폭락해 하락률이 96%를 넘겼다. 토요일 DEX(탈중앙화 거래소) 거래 데이터는 일부 유동성 지표가 수 달러 수준까지 떨어졌음을 보여줬고, 의미 있는 규모의 매도 주문은 비정상적으로 큰 슬리피지에 취약해졌다.

Blockaid가 최근 인용한 업데이트 시점에도 사건이 진행 중인 것으로 묘사됐으며, Freezer에는 약 1,220만 X 토큰이 남아 있는 것으로 전해졌다. 작성 시점(10/24 오후 3시 EST) 기준으로 프로젝트 측의 즉각적인 공식 성명은 나오지 않았다. 핵심 취약점은 놀라울 정도로 단순했다. 3개의 의석이 지배하는 금고가 외부인이 지배적 과반을 매수해, 대기 시간 없이 결정을 집행할 수 있게 했다는 점이다.