10月24日，以太坊生态中的去中心化金融项目X100遭受黑客攻击，造成约485万美元的稳定币损失。攻击者通过闪电贷手段获取项目治理权限，并迅速发起针对金库与流动性储备的恶意操作。
闪电贷策略突破治理防线
攻击始于UTC时间14:11，一名钱包通过Aave借入约194万美元USDT，随即购入38,200个X代币。这些代币被分置到两个新部署的合约中，分别质押超过19,000个代币，从而在参议院三席中占据两席。
由于协议未设置治理权限与资产控制之间的延迟期，攻击者可在同笔交易中完成投票并立即执行提案。其提交的指令要求将400,000个X代币售出至新创建的PancakeSwap V3池，该池仅含少量USDT，使攻击者以极低价格完成套现。
随后，攻击者在Uniswap V3上出售约13.17万个X代币，获得约669万美元USDT。偿还贷款后，净收益达475万美元。
资金转移与二次攻击持续发生
初始获利后，攻击者将约2,022枚ETH通过UniswapX转换并转入新地址。该地址随后将1,600枚ETH分发至四个独立钱包，每份400枚；其余约423枚保留在原地址。
UTC时间14:35，第二波攻击再次使用类似闪电贷策略，夺取治理席位并移除由冷冻库控制的Uniswap V3流动性头寸，额外获利约9.6万美元。
14:40，第三笔交易从另一头寸提取约55万枚X代币，构成总损失的一部分。尽管发送钱包不同，但尚无法确认是否为同一实体操控。
代币暴跌，修复进展不明
事件曝光后，X代币价格断崖式下跌，主交易池流动性几乎归零，跌幅超96%。由于市场深度严重不足，当前报价难以反映真实市值，需谨慎解读。
这已是年内第二起重大治理漏洞事件。此前8月，Term Finance曾因相似机制被攻破，导致逾850万美元资产流失。另在2025年9月，Shibarium也曾遭遇闪电贷攻击，但目标为验证者权限与桥接资产，非即时金库提款。
X100的治理机制虽设三分之二多数门槛，但因可即时行使投票权，未能形成有效防御。事件发生数小时内，项目方未发布事故说明或恢复方案。区块链安全公司Blockaid在识别第三笔异常交易后持续警示风险。
截至10月24日，冷冻库合约中仍有约1,220万枚X代币留存。目前尚未披露资金追回、合约修复或赔偿安排，后续进展备受关注。
骗局曝光+项目交流
