Otro caso de «la gobernanza en sí misma es una superficie de ataque». Según una investigación de Bitquery, el 24 de octubre se explotó la gobernanza on-chain de X100: su Senado solo tiene tres puestos, ocupados por las direcciones con más X bloqueados. El primer atacante pidió un préstamo flash para bloquear X y, con solo 0.000001 X más que los miembros existentes, obtuvo dos puestos. Después, votó para que el tesoro vendiera 400.000 X por 35.68 dólares. En total, los dos atacantes retiraron unos 4,85 millones de USDT del único pool de liquidez de X100: el primero, unos 4,75 millones; el segundo, unos 96.000, que cambió a través de ChangeNOW. Lo más irónico es que alrededor del 99 % de los nuevos fondos añadidos al pool provenían del dinero que los propios miembros del Senado habían aportado unos minutos antes. Bitquery afirma que los 2,022.86 X del primer atacante, $ETH , siguen intactos y que aún hay dos puestos abiertos para cualquiera. La lección es clara: si se puede pedir prestado el poder de voto mediante un préstamo flash dentro de una misma transacción, hay que añadir una instantánea, un período de bloqueo o un bloqueo temporal; de lo contrario, el módulo de gobernanza es una puerta trasera.
#Web3安全 #DeFi #闪电贷 #链上治理 $ETH