1,94 Millionen US-Dollar geliehen, zwei Sitze gekauft – die Projektkasse war sofort leer
📈 进群一起分析行情
X 100 Global wurde am Samstag auf Ethereum Opfer eines Governance-Angriffs. Der Angreifer übernahm zwei der drei Sitze im Senat und zog rund 4,85 Millionen US-Dollar in USDT sowie 550.000 X-Token aus der Kasse ab. Der Token-Kurs stürzte von über 50 US-Dollar auf 1,75 US-Dollar ab – ein Minus von mehr als 96 % 💥
Dabei wurde kein Code gehackt – die Regeln wurden gekauft. Zunächst lieh sich der Angreifer über einen Flash Loan bei Aave rund 1,94 Millionen US-Dollar in USDT. Mit diesem Geld kaufte er X-Token und registrierte anschließend Hilfsverträge, um zwei Sitze zu besetzen. Da es bei dieser Governance weder einen Snapshot der Stimmrechte noch eine Mindesthaltedauer oder eine Ausführungsverzögerung gibt, konnte er mit den erworbenen Stimmrechten sofort einen böswilligen Vorschlag einreichen und umsetzen 🦖
Bei einer der Transaktionen wurden 400.000 X-Token aus der Freezer-Kasse des Projekts abgezogen und in einen vom Angreifer kontrollierten Liquiditätspool eingezahlt. In der Kasse blieben nur rund 36 US-Dollar. Anschließend wurden die Token über reguläre Uniswap-V3-Pools verkauft. Mit insgesamt drei Transaktionen erbeutete der Angreifer rund 4,85 Millionen US-Dollar in USDT sowie 550.000 X-Token. Laut On-Chain-Daten befinden sich noch etwa 12,2 Millionen X-Token im Freezer. Das Projektteam hat sich bislang nicht offiziell geäußert; der Vorfall dauert an.
Was ich an diesem Fall am bemerkenswertesten finde, ist nicht die Summe, sondern der Angriffsweg. Früher richteten alle den Blick auf Schwachstellen im Smart Contract. Jetzt kaufen manche einfach die Governance-Rechte. Drei Sitze klingen nach einer Machtverteilung, bedeuten in der Praxis aber, dass die Schlüssel an den Höchstbietenden gehen. Fehlen ein Snapshot, eine Sperrfrist und eine Verzögerung, kann ein Flash Loan innerhalb weniger Minuten zur Machtübernahme führen. Das ist ein Designfehler, keine Glückssache ⚖️
Die Auswirkungen auf den Markt sind noch unmittelbarer: Nach dem Kurssturz von 96 % ist die DEX-Liquidität auf wenige Dollar geschrumpft. Selbst wer Token hält und verkaufen will, findet keine Gegenpartei. Market Maker und Institutionen werden solche Projekte künftig direkt herabstufen, denn die Governance-Struktur selbst ist ein Risiko 📉
Schreibt in die Kommentare: Ist das für euch ein Hackerangriff oder eine durch die Regeln erlaubte Arbitrage? 👀
Ich halte euch täglich über wichtige Themen rund um Krypto-Sicherheit auf dem Laufenden – nicht nur mit den Nachrichten, sondern auch mit den Hintergründen und Chancen 🚀
Klickt auf mein Profilbild, um den Livestream anzusehen
📈 进群一起分析行情
X 100 Global wurde am Samstag auf Ethereum Opfer eines Governance-Angriffs. Der Angreifer übernahm zwei der drei Sitze im Senat und zog rund 4,85 Millionen US-Dollar in USDT sowie 550.000 X-Token aus der Kasse ab. Der Token-Kurs stürzte von über 50 US-Dollar auf 1,75 US-Dollar ab – ein Minus von mehr als 96 % 💥
Dabei wurde kein Code gehackt – die Regeln wurden gekauft. Zunächst lieh sich der Angreifer über einen Flash Loan bei Aave rund 1,94 Millionen US-Dollar in USDT. Mit diesem Geld kaufte er X-Token und registrierte anschließend Hilfsverträge, um zwei Sitze zu besetzen. Da es bei dieser Governance weder einen Snapshot der Stimmrechte noch eine Mindesthaltedauer oder eine Ausführungsverzögerung gibt, konnte er mit den erworbenen Stimmrechten sofort einen böswilligen Vorschlag einreichen und umsetzen 🦖
Bei einer der Transaktionen wurden 400.000 X-Token aus der Freezer-Kasse des Projekts abgezogen und in einen vom Angreifer kontrollierten Liquiditätspool eingezahlt. In der Kasse blieben nur rund 36 US-Dollar. Anschließend wurden die Token über reguläre Uniswap-V3-Pools verkauft. Mit insgesamt drei Transaktionen erbeutete der Angreifer rund 4,85 Millionen US-Dollar in USDT sowie 550.000 X-Token. Laut On-Chain-Daten befinden sich noch etwa 12,2 Millionen X-Token im Freezer. Das Projektteam hat sich bislang nicht offiziell geäußert; der Vorfall dauert an.
Was ich an diesem Fall am bemerkenswertesten finde, ist nicht die Summe, sondern der Angriffsweg. Früher richteten alle den Blick auf Schwachstellen im Smart Contract. Jetzt kaufen manche einfach die Governance-Rechte. Drei Sitze klingen nach einer Machtverteilung, bedeuten in der Praxis aber, dass die Schlüssel an den Höchstbietenden gehen. Fehlen ein Snapshot, eine Sperrfrist und eine Verzögerung, kann ein Flash Loan innerhalb weniger Minuten zur Machtübernahme führen. Das ist ein Designfehler, keine Glückssache ⚖️
Die Auswirkungen auf den Markt sind noch unmittelbarer: Nach dem Kurssturz von 96 % ist die DEX-Liquidität auf wenige Dollar geschrumpft. Selbst wer Token hält und verkaufen will, findet keine Gegenpartei. Market Maker und Institutionen werden solche Projekte künftig direkt herabstufen, denn die Governance-Struktur selbst ist ein Risiko 📉
Schreibt in die Kommentare: Ist das für euch ein Hackerangriff oder eine durch die Regeln erlaubte Arbitrage? 👀
Ich halte euch täglich über wichtige Themen rund um Krypto-Sicherheit auf dem Laufenden – nicht nur mit den Nachrichten, sondern auch mit den Hintergründen und Chancen 🚀
Klickt auf mein Profilbild, um den Livestream anzusehen