X 100 Global, Üç Sandalyeli Senato Kaçırılınca Milyonlar Kaybediyor

X 100 Global Yönetişim Saldırısı Token %96 Çökerken Milyonları Boşalttı

2026’da yine sıradan bir gün, yine bir hack. Çok sayıda zincir üstü güvenlik uyarısına göre, üç koltuklu bir yönetim Senatosu etrafında inşa edilen kripto para projesi, saldırganların iki koltuğa adeta para ödeyerek girip ardından hazinesinden milyonları hızla boşalttığı bildirildiğinde anlık demokrasinin ne kadar tehlikeli hâle gelebileceğini acı şekilde öğrendi.

Ethereum tabanlı bir proje olan X 100 Global, 24 Ekim’de Blockaid adlı güvenlik firmasının izini sürdüğü ve yaklaşık 4,85 milyon dolarlık USDT’nin çıkarıldığı bir flash-loan operasyonuna bağlanan benzersiz bir yönetişim ele geçirmesine maruz kaldı. Ardından X tokeni %96’dan fazla çöktü ve yatırımcılar neredeyse hiç likiditesi olmayan bir piyasayla karşı karşıya kaldı.

Saldırganlar Kontrolü Satın Aldı ve Hazineyi Boşalttı

İstismar, klasik bir akıllı sözleşme kodlama hatasını hedef almak yerine X 100 Global’in yönetişim mimarisini hedef aldı. Güvenlik firması Exvul, kök nedeni tüm ayrıntılarıyla açıkladı. Saldırganların, Aave flash loan aracılığıyla yaklaşık 1,94 milyon USDT borç aldığı, X tokenleri satın aldığı ve projenin üç Senato koltuğundan ikisini işgal etmek için yardımcı sözleşmeler kaydettirdiği bildirildi.

İşin püf noktası şu: Yönetişimde oy anlık görüntüleri (snapshot), asgari elde tutma süreleri ve yürütme gecikmeleri yoktu. Bu da saldırganların oy gücü edinmesine, kötü niyetli teklifleri onaylamasına ve işlemleri neredeyse anında yürütmesine olanak tanıdı.

Bir işlem, projenin Freezer hazinesinden saldırgan kontrolündeki bir likidite havuzuna 400.000 X tokeni aktardı ve hazineye yaklaşık 36 USDT geri döndü. Saldırganlar daha sonra bu tokenleri çekip meşru bir Uniswap V3 havuzu üzerinden sattı.

Likidite Ortadan Kaybolurken 4,85 Milyon Dolar Çıkarıldı

Blockaid, Exvul ve diğer birkaç zincir üstü güvenlik ekibi ve araştırmacı, işlem analizinin yaklaşık 4,85 milyon dolarlık USDT gelirinin yanı sıra üç işlemde toplam yaklaşık 550.000 X tokeninin çıkarıldığını tespit ettiğini bildirdi. Sonraki operasyonlar ek Uniswap V3 likidite pozisyonlarını hedef aldı.

Piyasa sonuçları ağır oldu. X, 50-60 dolar bandından yaklaşık 1,75 dolara düştü; bu %96’yı aşan bir gerileme demek. Cumartesi günü merkeziyetsiz borsa (DEX) işlem verileri, bazı likidite ölçümlerinin yalnızca birkaç dolara kadar indiğini ve anlamlı satış emirlerini olağanüstü slipaj riskine açık bıraktığını gösterdi.

Blockaid’in en son alıntılanan güncellemesi sırasında Freezer’da yaklaşık 12,2 milyon X tokeninin kaldığı bildirildi; o esnada olay hâlâ devam ediyor olarak tanımlanıyordu. Yazım anı itibarıyla (24/10 saat 15.00 EST) projeden acil bir resmî açıklama yayımlanmadı. Temel zafiyet çarpıcı derecede basitti: Üç koltuk tarafından yönetilen bir hazine, görünüşe göre dışarıdan kişilerin kontrol çoğunluğunu satın almasına ve beklemeden kararlarını yürütmesine izin verdi.