治理机制成攻击突破口：X100 协议遭持续性攻击
TREE NEWS 报道， 以太坊上的 X100 项目正遭受一场持续性的协同攻击。安全公司 Blockaid 披露，三名攻击者通过利用项目的治理与流动性管理机制，已成功窃取约 485 万 USDT 及 55 万枚 X 代币，且攻击仍在进行中。
攻击路径剖析
本次攻击的核心在于 X100 的 Senate 治理机制。据 Blockaid 分析，首名攻击者控制了 Senate 三个席位中的两个，从而获得多数控制权。随后，该攻击者利用这一权限，将项目国库中的 40 万枚 X 代币出售至其自行创建的空流动性池，从而提取价值。第二名攻击者则销毁了 Freezer 合约持有的 Uniswap V3 流动性头寸，直接削弱了协议的流动性深度。第三名攻击者复制了首名攻击者的路径，通过同样的 Senate 操作，提取了剩余约 55 万枚 X 对应的 Uniswap V3 流动性头寸。
对 DeFi 治理安全的启示
此次事件深刻揭示了链上治理系统的固有风险，尤其是权力结构集中的治理模式。Senate 机制本为高效决策而设计，却成为单点故障的源头。攻击者迅速夺取治理席位并执行恶意提案的能力，凸显了采用更稳健、去中心化且带有时间锁的治理框架的必要性。此外，攻击也强调了流动性管理安全的重要性。销毁 Freezer 的 Uniswap V3 头寸表明，流动性可被武器化，无论是通过移除流动性制造价格滑点，还是利用管理流动性的机制进行攻击。攻击者利用自建的空流动性池倾销国库代币，是经典的“流动性撤资”手法，但通过治理途径实施。
前瞻与展望
随着攻击持续，Freezer 合约中仍有约 1220 万枚 X 代币，X100 团队及其安全合作伙伴正面临与时间的赛跑。当务之急是阻止攻击，可能需暂停协议或升级漏洞合约。然而，对用户信心的损害已然形成。对于更广泛的 DeFi 生态而言，此次事件应促使各方重新评估治理安全。协议需考虑实施多重签名控制、治理操作时间锁以及更去中心化的投票机制。同时，事件也引发了对 Blockaid 等安全公司在实时威胁检测与响应中角色的思考，以及此类监控是否应成为协议设计的标准配置。归根结底，X100 攻击事件为治理设计与安全最佳实践的对齐提供了代价高昂的教训。
