基于以太坊的DeFi项目X100于10月24日损失约485万USDT，攻击者利用闪电贷夺取其治理系统的控制权，并针对项目国库和流动性储备执行了恶意提案。

通过夺取X100治理参议院三个席位中的两个，攻击者得以在无需等待任何治理延迟的情况下批准并执行交易。首轮攻击产生约475万美元的收益，随后的额外提款使总损失达到485万美元。

区块链安全公司Blockaid在一条X帖子中于UTC时间14:49标记了正在进行的攻击，识别出多笔针对该协议Freezer合约的恶意交易。该公司随后的更新确认，另有约55万枚X代币从Uniswap流动性头寸中被提取，而Freezer中仍存有约1220万枚X。

闪电贷夺取参议院多数席位

首轮攻击始于UTC时间14:11，攻击者钱包通过Aave闪电贷借入约194万USDT，并用该资金购入38,200枚X代币。攻击者将这些代币分散到两个新部署的合约中，每个合约在X100的Freezer系统中质押略高于19,000枚X。这些存款取代了现有参议院成员，使攻击者获得了治理机构三个席位中的两个。

在确保所需多数席位后，攻击者提交并立即执行了一项提案，指示国库将40万枚X出售到一个新创建的PancakeSwap V3流动性池。由于被操纵的池中仅持有少量USDT，攻击者以约35.68 USDT获得了国库代币，随后撤出了流动性。

攻击者随后通过一个现有的Uniswap V3池出售约131,703枚X，获得约669万USDT。偿还闪电贷后，该交易净获利约475万美元。

此次攻击之所以得逞，是因为X100的治理合约允许新注册的参议员在同一笔区块链交易内投票并执行提案。闪电贷提供必须在单笔交易内偿还的无抵押借贷，为攻击者提供了获取投票权所需的临时资金。该协议在获得治理权限与行使国库资产控制权之间缺乏有效的等待期。将提案执行延迟至后续区块的时间锁（Timelock）之所以成为DeFi治理中广泛使用的安全措施，正是因为它给予代币持有人反应——以及退出——的时间，避免涉及国库的交易立即生效。X100事件表明，在代币加权治理体系中，即使协议的代币和国库合约未被直接利用，投票机制本身也可能成为攻击面。

赃款兑换为以太币

初始收益迅速通过UniswapX兑换为约2,022枚ETH，所得加密货币被转移至另一个以太坊钱包。该地址随后将1,600枚ETH分散到四个新创建的钱包中，每个钱包收到400枚ETH，而在初始交易分析期间，约423枚ETH仍留在汇总地址。

首笔提款之后，又有更多治理攻击发生。UTC时间14:35，第二笔交易采用类似的闪电贷策略夺取参议院席位，并移除Freezer合约控制的Uniswap V3流动性头寸，产生约96,382 USDT的额外收益。UTC时间14:40的第三笔交易利用被攻陷的治理通道提取了另一个包含约55万枚X代币的流动性头寸。这些代币是在485万USDT总额之外单独被提取的。

这些交易来自不同的发送，调查人员尚未确定它们是由不同攻击者控制，还是由同一方协调实施。

漏洞仍暴露，代币暴跌

攻击发生后，X100的代币大幅下挫，CoinGecko显示的交易数据表明，随着其主交易池流动性消失，跌幅超过96%。所引用的百分比应谨慎对待，因为剩余流动性极为稀薄，使显示的代币价格无法可靠反映实际可变现的市场价值。

此次攻击是近期一系列闪电贷驱动的治理攻击中的最新一起。8月，一名攻击者获得了对Term Finance的足够治理权限，执行恶意提案并从基于以太坊的借贷金库中抽走约850万美元。9月5日针对Shibarium的另一起闪电贷攻击同样涉及临时获取治理相关代币，但该事件针对的是验证者权限和桥接资产，而非立即执行国库提案。纵观这些事件，协议资产的控制权都与可在单笔交易内获取的代币挂钩，法定人数和批准门槛成为最后一道防线。

就X100而言，参议院三分之二批准门槛几乎未起到保护作用，因为投票权可以通过借入资金立即获取并行使。

在攻击发生后的最初几个小时内，项目方既未发布公开事件报告，也未确认恢复计划，而Blockaid在识别出第三笔交易后继续警告存在持续风险敞口。根据该公司10月24日的评估，Freezer合约中仍存有约1220万枚X。截至披露时，被提取资金的追回、合约修复或赔偿安排均未得到确认。Freezer合约中剩余代币是否会被转移，以及项目方是否会发布事后分析或治理变更，是Blockaid 10月24日评估后悬而未决的主要问题。