Unos atacantes se hacen con dos de los tres escaños del 'Senado' del proyecto de Ethereum X 100 Global con un préstamo flash y drenan 4,85 millones de dólares en USDT mientras su token cae un 96 %

Un proyecto de Ethereum llamado X 100 Global perdió unos 4,85 millones de dólares el sábado después de que unos atacantes tomaran el control de su gobernanza en lugar de vulnerar su código. Blockaid advirtió de que había un ataque en curso, y The Defiant informó de que dos transacciones convirtieron tokens de la tesorería y posiciones de liquidez en unos 4,85 millones de USDT.

Bitcoin.com News, citando a Blockaid, a la firma de seguridad Exvul y otros informes de seguridad on-chain, describió cómo habría funcionado. La tesorería del proyecto está gestionada por un "Senado" de tres escaños. Los atacantes tomaron prestados unos 1,94 millones de USDT mediante un préstamo flash de Aave, los usaron para comprar tokens X y registraron contratos auxiliares para ocupar dos de los tres escaños. Como el sistema de gobernanza no tenía instantáneas de votación, ni periodos mínimos de tenencia ni retrasos de ejecución, según los informes pudieron aprobar y ejecutar propuestas casi al instante. Una transacción trasladó 400.000 tokens X desde la tesorería "Freezer" del proyecto a un pool de liquidez controlado por los atacantes; después, los tokens se vendieron a través de un pool de Uniswap V3. Se tomaron unos 550.000 tokens X en tres transacciones, y quedaban unos 12,2 millones en el Freezer en el último informe de Blockaid, según Bitcoin.com News.

El token X se desplomó desde la franja de 50 a 60 dólares hasta unos 1,75 dólares. Hasta la tarde del sábado, el proyecto no había reconocido la brecha en sus canales, dijo Bitcoin.com News, y el incidente seguía describiéndose como en curso. Bitcoin.com News presentó el fallo como un problema de diseño de la gobernanza más que como un error de código.