BlockSec: X100 Global nghi bị tấn công vào cơ chế quản trị; kẻ tấn công đã khai thác lỗ hổng để đánh cắp khoảng 4,75 triệu USD.

BlockSec phát hiện X100 Global trên mạng Ethereum đã trở thành mục tiêu của một cuộc tấn công khai thác lỗ hổng trong cơ chế quản trị, gây thiệt hại khoảng 4,75 triệu USD. Đường dẫn chính của cuộc tấn công như sau: tin tặc sử dụng khoản vay chớp nhoáng (flash loan) để vay vốn, mua token X, sau đó phân bổ token này vào hai hợp đồng do chúng kiểm soát; tiếp đó, toàn bộ số token này được gửi cùng lúc vào hợp đồng Freezer — hành động này cho phép tin tặc nắm giữ 2/3 ghế Thượng nghị sĩ trong một giao dịch duy nhất, từ đó nhanh chóng đề xuất, thông qua và thực thi một đề xuất kho bạc độc hại. Cụ thể, tin tặc đầu tiên cung cấp thanh khoản vào pool giao dịch X-USDT trên PancakeSwap V3; sau đó, lợi dụng đa số quyền biểu quyết trong quản trị, chúng phê chuẩn một đề xuất hoán đổi 400.000 token X vào pool này, với mức tối thiểu nhận về (minimum output) được đặt bằng 0; kết quả, chỉ có khoảng 35,68 USDT được nhận về; ngay sau đó, tin tặc rút toàn bộ thanh khoản ra khỏi pool để hoàn tất vụ arbitrage.