Angreifer kapern mit einem Flash Loan zwei von drei „Senats“-Sitzen beim Ethereum-Projekt X 100 Global und erbeuten 4,85 Mio. US-Dollar in USDT – Token fällt um 96 Prozent

Ein Ethereum-Projekt namens X 100 Global hat am Samstag rund 4,85 Mio. US-Dollar verloren, nachdem Angreifer die Kontrolle über seine Governance übernommen hatten, statt seinen Code zu knacken. Blockaid warnte, dass ein Angriff im Gange sei, und The Defiant berichtete, dass zwei Transaktionen Treasury-Token und Liquiditätspositionen in rund 4,85 Millionen USDT umwandelten.

Bitcoin.com News beschrieb unter Berufung auf Blockaid, die Sicherheitsfirma Exvul und weitere On-Chain-Sicherheitsberichte, wie der Angriff Berichten zufolge ablief. Die Treasury des Projekts wird von einem „Senat“ mit drei Sitzen verwaltet. Die Angreifer liehen sich in einem Flash Loan bei Aave rund 1,94 Millionen USDT, kauften damit X-Token und registrierten Hilfs-Smart-Contracts, um zwei der drei Sitze zu besetzen. Da das Governance-System keine Abstimmungs-Snapshots, keine Mindesthaltedauer und keine Ausführungsverzögerungen vorsah, konnten sie laut den Berichten Vorschläge nahezu sofort beschließen und ausführen. Eine Transaktion verschob 400.000 X-Token aus der „Freezer“-Treasury des Projekts in einen von den Angreifern kontrollierten Liquiditätspool; die Token wurden anschließend über einen Uniswap-V3-Pool verkauft. In drei Transaktionen wurden rund 550.000 X-Token entnommen, wobei sich laut Bitcoin.com News zum Zeitpunkt der letzten Meldung von Blockaid noch rund 12,2 Millionen im Freezer befanden.

Der X-Token brach aus der Spanne von 50 bis 60 US-Dollar auf rund 1,75 US-Dollar ein. Bis Samstagnachmittag hatte das Projekt den Angriff auf seinen Kanälen nicht bestätigt, so Bitcoin.com News, und der Vorfall wurde weiterhin als andauernd beschrieben. Bitcoin.com News stufte die Schwachstelle als Problem des Governance-Designs und nicht als Programmierfehler ein.