Governance, in einer einzigen Transaktion erkauft — genau das geschah am Samstagabend mit X100, und ich komme immer wieder darauf zurück, wie wenig den Angreifern im Weg stand.
Die Angreifer nutzten einen Flash Loan, um sich zwei der drei „Senatssitze“ von X100 zu sichern. Anschließend erstellten, verabschiedeten und führten sie Vorschläge innerhalb derselben Transaktion aus — sie verkauften Treasury-Token in einen Pool, den sie gerade erst erstellt hatten, und vernichteten die Liquiditätsposition des Projekts. Blockaid meldete den Angriff zum Zeitpunkt seiner Warnung als weiterhin im Gange; dabei wurden rund 4,85 Millionen US-Dollar in USDT realisiert.
Der Fehler liegt im Design selbst: Die Stimmkraft wurde ab dem Moment gezählt, in dem Token eingefroren wurden — ohne Snapshot, ohne Mindesthaltefrist und ohne Timelock. X brach an diesem Tag um etwa 96,5 % ein.
Der Gesamtmarkt war bereits schwach — $BTC $80,420 (-1.3%), $ETH $2,335 (-2.8%) — das war keine Reaktion auf diesen einen kleinen Token. Die Lehre geht über X100 hinaus: Jede DAO, die mit frisch gekauften Stimmen sofort Vorschläge ausführen lässt, ist nur einen Flash Loan vom gleichen Schicksal entfernt. DYOR, keine Anlageberatung.
Welche Schutzmaßnahme sollte für DAOs nach diesem Vorfall unverzichtbar sein: Snapshots, Timelocks oder beides?
#CryptoMarkets #DeFiSecurity #Governance #Exploit
Die Angreifer nutzten einen Flash Loan, um sich zwei der drei „Senatssitze“ von X100 zu sichern. Anschließend erstellten, verabschiedeten und führten sie Vorschläge innerhalb derselben Transaktion aus — sie verkauften Treasury-Token in einen Pool, den sie gerade erst erstellt hatten, und vernichteten die Liquiditätsposition des Projekts. Blockaid meldete den Angriff zum Zeitpunkt seiner Warnung als weiterhin im Gange; dabei wurden rund 4,85 Millionen US-Dollar in USDT realisiert.
Der Fehler liegt im Design selbst: Die Stimmkraft wurde ab dem Moment gezählt, in dem Token eingefroren wurden — ohne Snapshot, ohne Mindesthaltefrist und ohne Timelock. X brach an diesem Tag um etwa 96,5 % ein.
Der Gesamtmarkt war bereits schwach — $BTC $80,420 (-1.3%), $ETH $2,335 (-2.8%) — das war keine Reaktion auf diesen einen kleinen Token. Die Lehre geht über X100 hinaus: Jede DAO, die mit frisch gekauften Stimmen sofort Vorschläge ausführen lässt, ist nur einen Flash Loan vom gleichen Schicksal entfernt. DYOR, keine Anlageberatung.
Welche Schutzmaßnahme sollte für DAOs nach diesem Vorfall unverzichtbar sein: Snapshots, Timelocks oder beides?
#CryptoMarkets #DeFiSecurity #Governance #Exploit