イーサリアムベースのDeFiプロジェクトX100は10月24日、攻撃者がフラッシュローンを利用してガバナンスシステムを乗っ取り、プロジェクトの財務（トレジャリー）および流動性準備金に対する悪意のある提案を実行したことにより、約485万USDTを失った。

攻撃者はX100の運営Senate（上院）の3議席中2議席を掌握することで、ガバナンス遅延を待つことなく取引の承認・実行を可能にした。最初の攻撃で約475万ドルの利益が生み出され、その後の追加引き出しにより損失総額は485万ドルに達した。

ブロックチェーンセキュリティ企業Blockaidは14:49 UTCにX投稿で進行中の攻撃を警告し、プロトコルのFreezerコントラクトを標的とする複数の悪意のある取引を特定した。同社のその後の更新では、Uniswapの流動性ポジションからさらに約55万Xトークンが引き出されたことが確認された一方、約1,220万XがFreezerに残っているとしている。

フラッシュローンにより攻撃者がSenate過半数を確保

最初の攻撃は14:11 UTCに開始された。あるウォレットがAaveのフラッシュローンで約194万USDTを借り入れ、その資金で38,200 Xトークンを購入した。攻撃者はトークンを2つの新規デプロイされたコントラクトに分割し、それぞれX100のFreezerシステムに19,000 X強をステーキングした。これらの預入により既存のSenateメンバーが置き換えられ、攻撃者はガバナンス機関の3議席中2議席の支配権を握った。

必要な過半数を確保した後、攻撃者は新規作成したPancakeSwap V3流動性プールに40万Xを売却するよう財務に指示する提案を提出し、直ちに実行した。操作されたプールにはごく少量のUSDTしかなかったため、攻撃者は財務トークンを約35.68 USDTで取得し、その後流動性を引き出した。

攻撃者は次に、既存のUniswap V3プールを通じて約131,703 Xを売却し、約669万USDTを受け取った。フラッシュローン返済後、この取引は約475万ドルの純利益を生んだ。

この攻撃が可能となったのは、X100のガバナンスコントラクトが新しく登録された上院議員が同一のブロックチェーン取引内で投票・提案実行を許可していたためだ。単一取引内で返済されなければならない無担保借入を提供するフラッシュローンが、投票権の獲得に必要な一時的な資金を攻撃者に供給した。プロトコルには、ガバナンス権限の取得から務資産の支配行使までの間に有効な待機期間が存在しなかった。提案の実行を後のブロックまで遅らせるタイムロックは、財務に影響する取引が発効する前にトークンホルダーが反応し、退出する時間を与えるものとして、DeFiガバナンスで広く用いられている保護策である。X100のインシデントは、トークン保有比率に基づくガバナンスシステムでは、プロトコルのトークンや財務コントラクトが直接攻撃されなくても、投票メカニズム自体が攻撃対象となりうることを示している。

盗まれた資金はイーサに変換

最初の利益はUniswapXを通じて急速に約2,022 ETHに交換され、結果として得られた暗号資産は別のイーサリアムウォレットに送金された。そのアドレスはその後、1,600 ETHを新規作成された4つのウォレットに各400 ETHずつ分配し、初期の取引分析時点で約423 ETHが集約アドレスに残っていた。

最初の引き出しの後、追加のガバナンス攻撃が続いた。14:35 UTC、2つ目の取引が同様のフラッシュローン戦略を用いてSenate議席を確保し、Freezerコントラクトが管理するUniswap V3流動性ポジションを引き出し、約96,382 USDTの追加利益を生んだ。14:40 UTCの3つ目の取引は、侵害されたガバナンス経路を利用して約55万Xトークンを含む別の流動性ポジションを引き出した。これらのトークンは485万USDTの総額とは別に引き出されたものである。

これらの取引は異なる送信ウォレットから行われたが、別々の攻撃者によるものか、同一の主体による組織的犯行かは調査によって確認されていない。

脆弱性が露出したままトークン価格が急落

X100のトークンは攻撃後に急落し、CoinGeckoに反映された取引データによると、主要取引プールから流動性が消失したことに伴い96%を超える下落を記録した。この数値は、残存流動性が極めて薄く、表示されているトークン価格が実現可能な市場価値の信頼できる指標とならないため、慎重に受け止める必要がある。

今回の攻撃は、最近一連のフラッシュローンを悪用したガバナンス攻撃の中で最新のものだ。8月には、攻撃者がTerm Financeのガバナンス権限を十分に取得して悪意のある提案を実行し、イーサリアムベースのレンディングボールトから約850万ドルを流出させた。2025年9月のShibariumに対する別のフラッシュローン攻撃もガバナンス関連トークンの一時的な取得を含んでいたが、このインシデントは財務提案の即時実行ではなく、バリデータ権限とブリッジ資産が標的となった。これらのインシデントに共通するのは、プロトコル資産に対する権限が単一取引内で取得可能なトークンに紐付いており、定足数および承認要件が最後の防衛線となっていたことだ。

X100の場合、Senateの3分の2承認要件はほとんど保護機能を果たさなかった。借入資金により投票権限を即座に取得・行使できたためである。

攻撃発生後の数時間において、プロジェクトは公開インシデント報告を発表せず、復旧計画も確認されておらず、Blockaidは3つ目の取引を特定した後も曝露が継続していると警告を続けた。同社の10月24日時点の評価では、約1,220万XがFreezerコントラクトに残っていた。引き出された資金の回復、コントラクトの修正、補償策について確定した公表はなされていない。Freezerコントラクトに残るトークンが次に移動されるか、プロジェクトが事後分析やガバナンス変更で対応するかが、Blockaidの10月24日評価後の主要な未解決事項となっている。