闪电贷获取两席治理权，X100被盗事件带来的行业教训

正文：

原创 | Odaily 星球日报（@OdailyChina）

作者 | Asher（@Asher_0210）

10月24日，以太坊 DeFi 项目 X100 遭遇治理攻击，造成约485万枚 USDT 被盗。根据 GMGN 的数据，X 代币的市值从攻击前的约7.6亿美元骤降至约2400万美元，单日跌幅超96%。

原本由三个“参议院”席位共同管理的金库，黑客通过闪电贷借来的资金获得了其中的两个席位。掌握多数票后，黑客提交了恶意提案，并通过自己控制的席位进行投票，最终使金库批准了向其输送资产的交易。首轮攻击成功后，其他攻击者也相继利用这一治理机制继续转移项目资产。

接下来，Odaily星球日报将详细梳理这场治理攻击的全过程，分析X100事件背后暴露出的DAO治理安全隐患。

X100的金库由一个名为Senate的三席“参议院”负责管理，成员通过投票决定金库代币的出售和流动性投放等事项。控制其中两个席位即可提出提案，调动金库资产。持有人需要将项目代币X存入Freezer合约，并选择冻结一年、三年或五年，支付100枚X作为报名费，便能参与竞选。三个席位根据参选地址当前的冻结余额实时排序，前三名将获得治理权。

这一机制没有限制同一控制者通过多个地址获取席位，也没有设置治理权生效的等待期。攻击者只需让两个受控地址的冻结余额同时进入前三名，便可立即掌握多数票；通过的提案也能够立即执行，使得夺取席位与转移资产可以在同一笔交易中完成。

在攻击发生前，第二席地址冻结了约19,000枚X。10月24日22时11分，黑客通过Aave闪电贷借入约194万枚USDT，购买X并分配给两个辅助合约，完成冻结与竞选。每个合约冻结19,000.000001枚X，刚好比原第二席多出百万分之一枚代币，成功占据第二、第三席位，将原第二席挤出治理名单。

那么，黑客是如何将金库的资产转移到自己手中的呢？

获得两席后，黑客立即提交恶意提案，要求金库将40万枚X出售至其创建的PancakeSwap V3 X/USDT交易池，并将最低接收金额设定为零。随后通过另一个受控合约投票支持该提案，使其获得两个赞成票并立即执行。根据GoPlus的分析，X100允许治理提案指定交易池，但缺乏有效的最低成交额保护。黑客既可以决定金库向何处出售代币，也能自行设定成交条件，再用自己控制的多数票批准交易。

该池子由黑客在同一笔交易中创建，仅注入约100美元的流动性。当金库将40万枚X卖入其中时，池子只能支付少量USDT，而最低接收金额为零，使得交易不会因回报过低而失败。最终，金库交出了40万枚X，却仅换回约35.68美元。随后，黑客撤出自建池子的流动性，取回其中的X，再将部分代币出售于已有的Uniswap V3 X/USDT交易池，换取USDT。偿还闪电贷等支出后，首名黑客获利约475万枚USDT。

从借款购币、夺取席位，到批准金库低价出售代币、套现还款，所有操作均在同一笔交易中完成。金库交出的代币成为黑客套现的筹码，而真实交易池中的USDT则被用于偿还借款，并转化为攻击收益。

首轮攻击约24分钟后，第二名黑客通过闪电贷再次夺取两个治理席位，移除Freezer持有的部分Uniswap V3流动性头寸，并利用自建交易池继续转移资产，获得约9.64万枚USDT。约五分钟后，第三个钱包利用第二名黑客留下、未限制调用者的辅助合约，直接借用其治理席位通过提案，转走约55万枚X。前三轮攻击总共造成约485万枚USDT的损失，第三轮攻击又转走了约55万枚X，三轮攻击在不到半小时内完成。

🌐 出海支付：锦鲤环球(KoiGlobal) — 海外支付通道，覆盖孟加拉/菲律宾/印尼等新兴市场，代收代付 API 稳定接入。

根据Bitquery追踪，首名黑客在攻击后几分钟内将主要的USDT收益兑换为ETH，随后将其分散至五个钱包，总计约2022.86 ETH。第二名黑客则将USDT兑换为ETH，并通过中转地址转向ChangeNOW，整个转移过程约耗时21分钟。

一旦治理权限失守，资产转移便迅速从首名黑客的单笔攻击演变为多个钱包接连参与的套取。后来的参与者甚至无须重新买币竞选，就能利用已有的权限继续转移资产。

X100并非个案，治理攻击并不一定需要黑客事先投入巨额资金。攻击者可以通过购买代币获得投票权，或利用较低的提案门槛寻找机会，而闪电贷更是让借来的资金能够参与治理夺权。

今年以来，类似的治理攻击已经多次导致巨额损失。7月，Bonk DAO的攻击者花费约409万美元购买占供应量1.003%的代币，刚刚超过治理批准门槛，随后通过恶意提案转走约2050万美元资产，投票结束后还取回了质押代币。8月，Term Finance因治理攻击损失约850万美元。即使需要投入数百万美元购买投票权，这些资金也未必是攻击者最终承担的成本。

部分未遂攻击的门槛甚至只有几百美元。今年3月，Moonwell攻击者仅花费约1808美元购买MFAM并进行自我委托，便提交恶意提案，试图取得涉及约108万美元用户资金的七个借贷市场及核心合约的管理权。9月，Olas的攻击者仅花费约135美元锁定5100枚OLAS，便超出了提案门槛。尽管这两次攻击均被拦截，但说明攻击者并不一定需要掌握多数票，仅需获得提案资格便可能创造攻击机会。

10月22日，Arkadiko也遭遇治理攻击。攻击者购入足够数量的DIKO，独自投票通过引入恶意合约的提案，期间没有反对票，估算损失约109万美元。

治理权可以借来，投票通过后便能转移资产。当金库的控制权如此容易易手，所谓的去中心化治理又能保护谁呢？