خسر X100 نحو US$ 4,85 مليون دولار بعد هجوم استولى على الحوكمة
📋 ملخص
استخدم المهاجمون قروضًا خاطفة للاستيلاء على مقعدين من أصل ثلاثة في مجلس حوكمة X100 وسحب نحو US$ 4,85 مليون دولار من عملة USDT. وتكشف القضية مخاطر البروتوكولات التي تتيح شراء قوة التصويت وتنفيذ المقترحات من دون أي فترة انتظار.
خسر مشروع X100، المبني على شبكة Ethereum، نحو US$ 4,85 مليون دولار من عملة USDT بعد أن استولى مهاجمون على مقعدين من أصل ثلاثة في نظام الحوكمة الخاص به. ونُفذ الهجوم يوم السبت (24)، مستغلًا مزيجًا خطيرًا: قوة تصويت مكتسبة عبر قروض خاطفة، وتنفيذ فوري للمقترحات التي تحصل على الموافقة.
بحسب التنبيه الذي نشرته شركة الأمن Blockaid، سيطر المهاجم الأول على أغلبية ما يُسمى «مجلس الشيوخ» في البروتوكول، وجعل الخزانة تبيع 400 ألف من رموز X في مجمع سيولة فارغ أُنشئ للهجوم. أما المهاجم الثاني فسحب مراكز السيولة من Uniswap V3. وبلغت العائدات نحو US$ 4,85 مليون دولار عبر معاملتين.
رصدت Blockaid استغلالًا جاريًا لـ X100 على شبكة Ethereum، شمل الاستيلاء على مقعدين من أصل ثلاثة في مجلس الشيوخ وسحب نحو US$ 4.85 مليون دولار من عملة USDT.— Blockaid (@blockaid_) 24 أكتوبر 2026
كيف استولى المهاجمون على حوكمة X100
أسند X100 قرارات السيولة إلى المشاركين الثلاثة الذين يملكون أكبر كميات من الرموز المرهونة. وبما أن موافقتين تكفيان لتشكيل الأغلبية، لم يكن على المهاجمين سوى تجاوز ثاني أكبر إيداع بين الأعضاء الحاليين.
تُظهر سجلات المعاملات على شبكة Ethereum أن العقد الأول اقترض نحو 1,94 مليون USDT عبر قرض خاطف. واستُخدمت الأموال لشراء رموز X، ثم وُزعت على حسابين. وأودع كل حساب ما يزيد قليلًا على 19 ألف رمز X، وهي كمية تكفي لشغل مقعدين.
وفي المعاملة نفسها، قدمت الحسابات الجديدة مقترحًا لإجراء تغيير في السيولة، ثم وافقت عليه ونفذته.
📋 ملخص
استخدم المهاجمون قروضًا خاطفة للاستيلاء على مقعدين من أصل ثلاثة في مجلس حوكمة X100 وسحب نحو US$ 4,85 مليون دولار من عملة USDT. وتكشف القضية مخاطر البروتوكولات التي تتيح شراء قوة التصويت وتنفيذ المقترحات من دون أي فترة انتظار.
خسر مشروع X100، المبني على شبكة Ethereum، نحو US$ 4,85 مليون دولار من عملة USDT بعد أن استولى مهاجمون على مقعدين من أصل ثلاثة في نظام الحوكمة الخاص به. ونُفذ الهجوم يوم السبت (24)، مستغلًا مزيجًا خطيرًا: قوة تصويت مكتسبة عبر قروض خاطفة، وتنفيذ فوري للمقترحات التي تحصل على الموافقة.
بحسب التنبيه الذي نشرته شركة الأمن Blockaid، سيطر المهاجم الأول على أغلبية ما يُسمى «مجلس الشيوخ» في البروتوكول، وجعل الخزانة تبيع 400 ألف من رموز X في مجمع سيولة فارغ أُنشئ للهجوم. أما المهاجم الثاني فسحب مراكز السيولة من Uniswap V3. وبلغت العائدات نحو US$ 4,85 مليون دولار عبر معاملتين.
رصدت Blockaid استغلالًا جاريًا لـ X100 على شبكة Ethereum، شمل الاستيلاء على مقعدين من أصل ثلاثة في مجلس الشيوخ وسحب نحو US$ 4.85 مليون دولار من عملة USDT.— Blockaid (@blockaid_) 24 أكتوبر 2026
كيف استولى المهاجمون على حوكمة X100
أسند X100 قرارات السيولة إلى المشاركين الثلاثة الذين يملكون أكبر كميات من الرموز المرهونة. وبما أن موافقتين تكفيان لتشكيل الأغلبية، لم يكن على المهاجمين سوى تجاوز ثاني أكبر إيداع بين الأعضاء الحاليين.
تُظهر سجلات المعاملات على شبكة Ethereum أن العقد الأول اقترض نحو 1,94 مليون USDT عبر قرض خاطف. واستُخدمت الأموال لشراء رموز X، ثم وُزعت على حسابين. وأودع كل حساب ما يزيد قليلًا على 19 ألف رمز X، وهي كمية تكفي لشغل مقعدين.
وفي المعاملة نفسها، قدمت الحسابات الجديدة مقترحًا لإجراء تغيير في السيولة، ثم وافقت عليه ونفذته.