194 万撬动 485 万：X100 治理防线为何形同虚设？

据 Woofun AI 消息， DeFi 项目 在 10 月 24 日遭遇严重治理攻击，导致约 485 万枚 被盗。此次事件由 Odaily 星球日报作者 Asher 披露，攻击者利用闪电贷机制，以极低成本夺取了项目金库中名为 的三席参议院中的两席。随着治理权旁落， 代币市值从攻击前的约 7.6 亿美元急剧缩水至约 2400 万美元，单日跌幅超过 96%。黑客在掌握多数票后，迅速提交并通过了恶意提案，将金库资产转移至自身控制的地址，这一过程不仅揭示了 DAO 治理机制中缺乏等待期与最低成交额保护的结构性缺陷，更引发了行业对低成本治理攻击频发的深层担忧。

攻击的核心在于 X100 独特的治理席位竞选机制。该项目的金库由 Senate 管理，成员通过投票决定代币出售与流动性投放等关键操作，只要控制三席中的两席，即可调动金库资产。竞选规则要求持有人将项目代币 X 存入 合约，选择冻结一年、三年或五年，并支付 100 枚 X 作为报名费。席位分配依据参选地址的当前冻结余额实时排序，前三名获得治理权。

然而，该机制未限制同一控制者通过多个地址获取席位，也未设置治理权生效的等待期，这意味着攻击者只需让两个受控地址的冻结余额同时进入前三，便能立即掌握多数票，并在同一笔交易中完成夺权与资产转移。

Woofun AI 整理数据显示，攻击发生前，第二席地址冻结了约 19,000 枚 X。10 月 24 日 22 时 11 分，黑客通过 闪电贷借入约 194 万枚 USDT，购入 X 并分配给两个辅助合约，分别完成冻结与竞选。每个合约冻结 19,000.000001 枚 X，仅比原第二席多出百万分之一枚代币，便同时占据第二席与第三席，将原第二席挤出治理名单，从而以极小的资金增量实现了对金库控制权的绝对掌控。

在取得多数票后，黑客立即执行了资产转移计划。他们提交恶意提案，要求金库将 40 万枚 X 卖入其自行创建的 X/USDT 池子，并将最低接收金额设为零。据 分析，X100 允许治理提案指定交易池，却缺乏有效的最低成交额保护，这使得黑客既能决定金库向哪里卖币，也能自行设定成交条件，再用自己控制的多数票批准交易。上述池子由黑客在同一笔交易中创建，仅注入约 100 美元的流动性。当金库将 40 万枚 X 卖入其中时，池子只能支付少量 USDT，而最低接收金额为零，使交易没有因回报过低而失败。

最终，金库交出了 40 万枚 X，只换回约 35.68 美元。黑客随后撤出自建池子的流动性，取回其中的 X，再将部分代币卖入已有的 X/USDT 交易池，换取 USDT。偿还闪电贷等支出后，首名黑客获利约 475 万枚 USDT。从借款购币、夺取席位，到批准金库低价卖币、套现还款，全部在同一笔交易中完成。金库交出的代币成为黑客套现的筹码，真实交易池中的 USDT 则被用于偿还借款，并转化为攻击收益。

这种'借鸡生蛋'式的攻击模式，将治理漏洞与流动性操纵完美结合，使得攻击成本几乎为零，而收益却高达数百万美元。

首轮攻击得手后，其他攻击者接连利用同一治理机制，继续转走项目资产。首轮攻击发生约 24 分钟后，第二名黑客通过闪电贷再次夺取两个治理席位，移除 Freezer 持有的部分 Uniswap V3 流动性头寸，并利用自建交易池继续转走资产，取得约 9.64 万枚 USDT。约五分钟后，第三个钱包利用第二名黑客留下、未限制调用者的辅助合约，直接借用其治理席位通过提案，转走约 55 万枚 X。前两轮攻击共造成约 485 万枚 USDT 损失，第三轮攻击另有约 55 万枚 X 被转走，三轮攻击发生在不到半小时内。