Meminjam 1,94 juta dolar AS untuk membeli dua kursi, lalu menguras habis kas proyek
📈 进群一起分析行情
X 100 Global mengalami serangan tata kelola di Ethereum pada Sabtu. Penyerang merebut dua dari tiga kursi senat, lalu menarik sekitar 4,85 juta dolar AS dalam bentuk USDT dan 550 ribu token X dari kas proyek. Harga token anjlok dari lebih dari 50 dolar menjadi 1,75 dolar, turun lebih dari 96% 💥
Ini bukan peretasan kode, melainkan pembelian aturan. Penyerang terlebih dahulu meminjam sekitar 1,94 juta dolar AS dalam bentuk USDT melalui flash loan dari Aave, menggunakan dana itu untuk membeli token X, lalu mendaftarkan kontrak bantu dan menguasai dua kursi. Karena sistem tata kelola ini tidak memiliki snapshot pemungutan suara, masa minimum kepemilikan token, maupun jeda eksekusi, begitu mendapatkan hak suara, penyerang bisa langsung mengajukan proposal berbahaya dan langsung mengeksekusinya 🦖
Dalam salah satu transaksi, 400 ribu token X dipindahkan dari kas Freezer milik proyek ke pool likuiditas yang dikendalikan penyerang, sehingga kas hanya menyisakan sekitar 36 dolar. Setelah itu, token-token tersebut dijual melalui pool Uniswap V3 biasa. Tiga operasi itu menghasilkan total sekitar 4,85 juta dolar AS dalam bentuk USDT dan 550 ribu token X. Data on-chain menunjukkan masih ada sekitar 12,2 juta token X di Freezer. Hingga kini, pihak proyek belum memberikan tanggapan resmi dan insiden ini masih berlangsung.
Menurut saya, hal terpenting dari kasus ini bukan jumlah uangnya, melainkan jalur serangannya. Dulu semua orang fokus pada celah kontrak. Sekarang, ada yang langsung membeli hak tata kelola. Tiga kursi terdengar seperti pembagian kekuasaan, tetapi kenyataannya sama saja dengan menyerahkan kunci kepada penawar tertinggi. Tanpa snapshot, penguncian token, dan jeda eksekusi, flash loan bisa mengambil alih kekuasaan dalam hitungan menit. Ini adalah celah dalam desain, bukan soal keberuntungan ⚖️
Dampak sekundernya terhadap pasar lebih langsung lagi. Setelah token anjlok 96%, likuiditas DEX hanya tersisa beberapa dolar. Pemegang token yang ingin menjual pun tidak memiliki pihak lawan untuk bertransaksi. Selanjutnya, proyek-proyek seperti ini akan langsung diturunkan peringkatnya oleh market maker dan institusi, karena struktur tata kelola itu sendiri sudah menjadi eksposur risiko 📉
Yuk, bahas di kolom komentar: menurutmu ini serangan peretas atau arbitrase yang diizinkan oleh aturan? 👀
Setiap hari, saya mengajakmu mengikuti berita terkini seputar keamanan kripto. Bukan hanya melihat apa yang terjadi, tetapi juga memahami logika dan peluang di baliknya 🚀
Klik foto profil untuk menonton siaran langsung
📈 进群一起分析行情
X 100 Global mengalami serangan tata kelola di Ethereum pada Sabtu. Penyerang merebut dua dari tiga kursi senat, lalu menarik sekitar 4,85 juta dolar AS dalam bentuk USDT dan 550 ribu token X dari kas proyek. Harga token anjlok dari lebih dari 50 dolar menjadi 1,75 dolar, turun lebih dari 96% 💥
Ini bukan peretasan kode, melainkan pembelian aturan. Penyerang terlebih dahulu meminjam sekitar 1,94 juta dolar AS dalam bentuk USDT melalui flash loan dari Aave, menggunakan dana itu untuk membeli token X, lalu mendaftarkan kontrak bantu dan menguasai dua kursi. Karena sistem tata kelola ini tidak memiliki snapshot pemungutan suara, masa minimum kepemilikan token, maupun jeda eksekusi, begitu mendapatkan hak suara, penyerang bisa langsung mengajukan proposal berbahaya dan langsung mengeksekusinya 🦖
Dalam salah satu transaksi, 400 ribu token X dipindahkan dari kas Freezer milik proyek ke pool likuiditas yang dikendalikan penyerang, sehingga kas hanya menyisakan sekitar 36 dolar. Setelah itu, token-token tersebut dijual melalui pool Uniswap V3 biasa. Tiga operasi itu menghasilkan total sekitar 4,85 juta dolar AS dalam bentuk USDT dan 550 ribu token X. Data on-chain menunjukkan masih ada sekitar 12,2 juta token X di Freezer. Hingga kini, pihak proyek belum memberikan tanggapan resmi dan insiden ini masih berlangsung.
Menurut saya, hal terpenting dari kasus ini bukan jumlah uangnya, melainkan jalur serangannya. Dulu semua orang fokus pada celah kontrak. Sekarang, ada yang langsung membeli hak tata kelola. Tiga kursi terdengar seperti pembagian kekuasaan, tetapi kenyataannya sama saja dengan menyerahkan kunci kepada penawar tertinggi. Tanpa snapshot, penguncian token, dan jeda eksekusi, flash loan bisa mengambil alih kekuasaan dalam hitungan menit. Ini adalah celah dalam desain, bukan soal keberuntungan ⚖️
Dampak sekundernya terhadap pasar lebih langsung lagi. Setelah token anjlok 96%, likuiditas DEX hanya tersisa beberapa dolar. Pemegang token yang ingin menjual pun tidak memiliki pihak lawan untuk bertransaksi. Selanjutnya, proyek-proyek seperti ini akan langsung diturunkan peringkatnya oleh market maker dan institusi, karena struktur tata kelola itu sendiri sudah menjadi eksposur risiko 📉
Yuk, bahas di kolom komentar: menurutmu ini serangan peretas atau arbitrase yang diizinkan oleh aturan? 👀
Setiap hari, saya mengajakmu mengikuti berita terkini seputar keamanan kripto. Bukan hanya melihat apa yang terjadi, tetapi juga memahami logika dan peluang di baliknya 🚀
Klik foto profil untuk menonton siaran langsung