Des attaquants s’emparent de deux des trois sièges du « Sénat » du projet Ethereum X 100 Global grâce à un flash loan et siphonnent 4,85 millions d’USDT, tandis que son jeton chute de 96 %

Un projet Ethereum baptisé X 100 Global a perdu environ 4,85 millions de dollars samedi après que des attaquants ont pris le contrôle de sa gouvernance, plutôt qu’en s’attaquant à son code. Blockaid a averti qu’une attaque était en cours, et The Defiant a rapporté que deux transactions ont converti des jetons de la trésorerie et des positions de liquidité en environ 4,85 millions d’USDT.

Bitcoin.com News, citant Blockaid, la société de sécurité Exvul et d’autres rapports de sécurité on-chain, a décrit le déroulement supposé de l’attaque. La trésorerie du projet est gérée par un « Sénat » de trois sièges. Les attaquants ont emprunté environ 1,94 million d’USDT via un flash loan sur Aave, l’ont utilisé pour acheter des jetons X et ont enregistré des contrats auxiliaires pour occuper deux des trois sièges. Comme le système de gouvernance ne prévoyait ni instantanés de vote, ni durée minimale de détention, ni délai d’exécution, ils ont pu faire adopter et exécuter des propositions presque immédiatement, selon ces rapports. Une transaction a transféré 400 000 jetons X de la trésorerie « Freezer » du projet vers un pool de liquidité contrôlé par les attaquants ; les jetons ont ensuite été vendus via un pool Uniswap V3. Environ 550 000 jetons X ont été dérobés en trois transactions, environ 12,2 millions restant dans le Freezer lors du dernier signalement de Blockaid, selon Bitcoin.com News.

Le jeton X s’est effondré, passant d’une fourchette de 50 à 60 dollars à environ 1,75 dollar. Samedi après-midi, le projet n’avait pas reconnu l’attaque sur ses canaux, a indiqué Bitcoin.com News, et l’incident était toujours présenté comme en cours. Bitcoin.com News a présenté la faille comme un problème de conception de la gouvernance plutôt que comme un bug de code.