X100、攻撃者がガバナンスを掌握しUS$ 4,85百万ドルを流出

📋 概要
攻撃者はフラッシュローンを利用してX100のガバナンス議席3つのうち2つを掌握し、約US$ 4,85百万USDTを引き出しました。この事件は、投票権を購入でき、待機期間なしで提案を実行できるプロトコルのリスクを浮き彫りにしています。

Ethereum上に構築されたプロジェクトX100は、攻撃者がガバナンスシステムの議席3つのうち2つを掌握した後、約US$ 4,85百万USDTを失いました。攻撃は土曜日（24日）に発生し、フラッシュローンで取得した投票権と、承認された提案を即座に実行できる仕組みという危険な組み合わせを悪用しました。

セキュリティ企業Blockaidが公開した警告によると、最初の攻撃者はプロトコルのいわゆる「上院」の過半数を掌握し、攻撃用に作成した空のプールで、財務資金を使って40万Xトークンを売却させました。2人目の攻撃者はUniswap V3から流動性ポジションを引き出しました。2件の取引による実際の流出額は、約US$ 4,85百万ドルに達しました。

Blockaidは、Ethereum上のX100で進行中のエクスプロイトを検知しました。攻撃者が上院の議席3つのうち2つを掌握し、約US$ 4.85百万USDTを流出させています。— Blockaid (@blockaid_) 2026年10月24日

X100のガバナンスはどのように掌握されたのか

X100では、ステーキングしているトークンの保有量が最も多い3人の参加者に、流動性に関する決定権が与えられていました。2人の承認で過半数に達するため、攻撃者が上回る必要があったのは、既存メンバーのうち2番目に大きい預け入れ額だけでした。

Ethereum上の取引記録によると、最初のコントラクトはフラッシュローンで約194万USDTを調達しました。その資金でXトークンを購入し、2つのアカウントに分配しました。それぞれが19,000Xを少し上回る量を預け入れ、議席2つを確保するのに十分な額となりました。

同じ取引の中で、新たに作成されたアカウントは流動性の変更を提案し、承認したうえで実行しました。