X 100 Global traci miliony, gdy trzyosobowy Senat zostaje przejęty

Atak na zarządzanie X 100 Global drenuje miliony, a token spada o 96%

Kolejny dzień, kolejny hack w 2026 roku. Według licznych alertów bezpieczeństwa onchain projekt kryptowalutowy zbudowany wokół trzyosobowego Senatu zarządzającego przekonał się, jak niebezpieczna może być natychmiastowa demokracja, gdy napastnicy mieli kupić sobie wejście na dwa miejsca i szybko opróżnić ze skarbca miliony.

X 100 Global, projekt oparty na Ethereum, 24 października doświadczył wyjątkowego przejęcia zarządzania, które — jak prześledziła firma bezpieczeństwa Blockaid — było powiązane z operacją flash loan, w ramach której wyciągnięto około 4,85 mln dolarów w USDT. Następnie token X załamał się o ponad 96%, pozostawiając posiadaczy na rynku praktycznie pozbawionym płynności.

Napastnicy kupili kontrolę i opróżnili skarbiec

Wykorzystany exploit uderzył w architekturę zarządzania X 100 Global, a nie w typowy błąd w kodzie smart kontraktu. Firma bezpieczeństwa Exvul wyjaśniła przyczynę źródłową w pełnych szczegółach. Napastnicy mieli pożyczyć około 1,94 mln USDT poprzez flash loan z Aave, kupić tokeny X i zarejestrować kontrakty pomocnicze, aby obsadzić dwa z trzech miejsc w Senacie projektu.

Haczyk polegał na tym, że w mechanizmie zarządzania brakowało snapshotów głosowania, minimalnych okresów utrzymywania oraz opóźnień wykonania. To pozwoliło napastnikom zdobyć siłę głosu, zatwierdzić złośliwe propozycje i wykonać transakcje niemal natychmiast.

Jedna transakcja przeniosła 400 000 tokenów X ze skarbca Freezer projektu do kontrolowanej przez napastnika puli płynności, zwracając do skarbca około 36 USDT. Następnie napastnicy wyciągnęli te tokeny i sprzedali je poprzez legalną pulę Uniswap V3.

Wyciągnięto 4,85 mln dolarów, gdy znika płynność

Blockaid, Exvul oraz kilka innych zespołów bezpieczeństwa onchain i badaczy informowało, że analiza transakcji zidentyfikowała około 4,85 mln dolarów w USDT zysków, a także około 550 000 tokenów X wyciągniętych w trzech transakcjach. Kolejne operacje celowały w dodatkowe pozycje płynności Uniswap V3.

Konsekwencje rynkowe były poważne. X spadł z przedziału 50–60 dolarów do około 1,75 dolara, co oznacza spadek przekraczający 96%. Dane z sobotniego handlu na zdecentralizowanych giełdach (DEX) pokazywały, że niektóre miary płynności spadły do zaledwie kilku dolarów, przez co znaczące zlecenia sprzedaży były narażone na nadzwyczajny poślizg.

Według doniesień około 12,2 mln tokenów X pozostawało w Freezerze w momencie ostatniej cytowanej aktualizacji Blockaid, gdy incydent wciąż opisywano jako trwający. W chwili pisania (godz. 15:00 czasu EST, 24.10) nie opublikowano żadnego natychmiastowego, oficjalnego oświadczenia projektu. Centralna luka była uderzająco prosta: skarbiec zarządzany przez trzy miejsca najwyraźniej pozwalał osobom z zewnątrz kupić kontrolującą większość i wykonywać jego decyzje bez czekania.