ハッカーは必ずしもスマートコントラクトを破る必要はありません。ガバナンス権限を掌握するだけで、プロジェクト全体の資金を支配できる可能性があります！

X100で発生した最新のセキュリティインシデントは、その一例です。

ブロックチェーンセキュリティ企業Blockaidが10月24日に公表した初期分析によると、X100のガバナンス機構が攻撃を受けた疑いがあり、約485万ドル相当の資産が関与しています。

この事件の鍵となるのは、X100の「上院」型ガバナンス構造です。

この仕組みでは3つの議席が設けられ、もともとは多数決によってプロジェクト関連の権限を管理していました。

しかし、攻撃者はそのうち2議席を掌握した疑いがあり、ガバナンス決議を可決するのに十分な権限を得ました。

その後、攻撃者はこれらの権限を利用してプロジェクトの金庫にあるトークンや流動性を操作し、資産が移転される事態となりました。

その後、Blockaidは関連する3件目の取引も追跡しました。

この事件で注目すべき点は3つあります。

1. 攻撃の侵入口はスマートコントラクトのコードではなく、ガバナンスの支配権だった可能性があります。
2. 3議席のガバナンス構造では、2議席が掌握されるだけで、当初設計されていた牽制機能が失われる可能性があります。
3. 取引がコントラクトで定められた権限ルールに沿っていても、正当な承認を得た取引とは限りません。

これはDeFiプロジェクトに対し、スマートコントラクトの監査だけでなく、ガバナンス権限、署名者のセキュリティ、金庫の管理も同じく重要であることを改めて示しています。

現時点で約485万ドルは初期段階で確認された関与額であり、実際の損失額や攻撃の全容は、さらなる確認が待たれます。