以太坊DeFi协议X100突遭治理攻击，48.5万美元资产受损

近日，以太坊生态中的一个DeFi协议X100成为攻击目标。根据安全研究机构Blockaid的实时监测，这场攻击从10月24日开始，在其发布警报时仍在持续进行。目前，已有两笔交易成功从协议中转移出价值约48.5万美元的USDT资产。

攻击手法剖析：治理权限的沦陷

与常见的智能合约漏洞利用不同，此次攻击的核心在于治理机制的失守。攻击者首先瞄准了项目的治理模块，成功夺取了三个核心“治理席位”中的两个，从而获得了对协议关键功能的控制权。

获得权限后，攻击者立即执行了以下操作：

  • 抛售金库资产：将金库中持有的40万枚项目原生代币（X代币）全部转移。
  • 创建虚假流动性池：将这些代币抛售至一个由攻击者自行创建、缺乏真实深度的交易对池中，完成了套现。

攻击升级：流动性头寸遭销毁

在第一阶段攻击完成后，另一名攻击者（或同一攻击者的后续操作）介入了攻击流程。其目标指向了协议在Uniswap V3上提供的流动性。攻击者调用了名为“Freezer”的合约功能，直接销毁了该合约所持有的全部流动性头寸（LP Positions）。这一操作进一步破坏了协议的财务结构，可能导致更大的市场混乱和用户损失。

Blockaid在警报中已经公布了相关的攻击者钱包地址和示例交易哈希，协助社区和交易所进行追踪与资产冻结。此次事件再次为DeFi项目敲响了警钟，表明去中心化治理本身可能成为安全中最薄弱的一环。仅仅依靠代码审计并不足够，对治理密钥、多签机制和权限升级流程的设计与保护，同样至关重要。