Community Trust ScoreVérifié
Des vulnérabilités de gouvernance dans le protocole X100 ont entraîné une perte d’environ 6 millions de dollars le 24 octobre après qu’un attaquant a utilisé un prêt flash pour s’emparer de sièges au Sénat. Par ailleurs, un processus de vote manipulé sur le protocole de prêt Arkadiko le 22 octobre a causé une perte estimée à 1,09 million de dollars.
Sièges du Sénat X100 achetés via prêt flash
La gouvernance de X100 repose sur un Sénat où les candidats sont classés par jetons X gelés. Bien que les durées de verrouillage varient d’un à cinq ans, l’éligibilité est basée sur les soldes actuels sans exigence d’ancienneté minimale du stake. Cela a permis à un attaquant d’acheter du pouvoir de vote juste avant un vote crucial.
Le 24 octobre, l’attaquant a déployé deux contrats auxiliaires, chacun gelant 19 000,000001 jetons X sous un verrouillage d’un an. Ces contrats sont entrés dans le classement du Sénat et ont fourni les deux votes nécessaires pour exécuter la proposition 7. Le staking, le vote et l’exécution ont eu lieu dans une seule transaction.
La proposition 7 a échangé 400 000 jetons X du trésor X100 contre un pool de liquidité créé par l’attaquant. Le contrat Freezer n’a reçu que 35,675313 USDT de l’échange. L’attaquant a ensuite extrait des jetons du pool et vendu des X pour rembourser le prêt flash.
L’attaque a utilisé un prêt flash d’environ 1,94 million d’USDT. Après remboursement, environ 4,75 millions d’USDT ont atteint le premier destinataire final. Philippark, contributeur de ChainBounty, a tracé 4,848 millions d’USDT payés à trois destinataires. Le stake de l’attaquant est resté gelé pendant un an, mais l’accès immédiat au trésor a assuré un bénéfice net.
Fenêtre de vote Arkadiko exploitée par des achats tardifs
Arkadiko a subi une attaque de gouvernance après la proposition 12, soumise à 20h35 UTC le 17 octobre et exécutée à 16h04 UTC le 22 octobre. Le contrat de gouvernance prévoyait un intervalle de vote de 720 blocs Bitcoin, soit cinq jours.
Les règles exigeaient 0,25 % de l’offre éligible de DIKO pour proposer et 5 % de participation pour le quorum. Cependant, les détenteurs de jetons n’avaient pas besoin de posséder les jetons avant la soumission de la proposition. Le portefeuille du proposant a échangé et voté à 15h06:47 UTC le 22 octobre, engageant environ 4,573 millions de jetons DIKO. La proposition s’est clôturée avec uniquement des votes pour.
Bitquery estime que les achats de jetons ont coûté environ 51 000 dollars, notant que 77 % des STX envoyés au portefeuille de vote provenaient d’un incident StackSwap antérieur. Le contrat malveillant manquait d’autorisation de l’appelant pour les retraits et la frappe de USDA. Il a retiré sBTC à 16h06 UTC et stSTX à 16h09 UTC le 22 octobre.
Bitquery estime la perte totale à environ 1,09 million de dollars : 780 000 dollars en stSTX, 135 000 dollars en sBTC et 173 000 dollars en STX issus de la vente de USDA non adossés. Arkadiko a désactivé le contrat malveillant et mis en pause la gouvernance, les rachats de coffres et les liquidations, notant que les coffres affectés ne pouvaient pas être modifiés.
Restauration et lacunes de gouvernance
À 07h57 UTC le 27 octobre, Arkadiko a exécuté la proposition 14 pour réinitialiser les opérations des coffres à son contrat légitime v1-3. Cela n’a pas récupéré les collatéraux volés ni indemnisé les utilisateurs.
Ces incidents révèlent des lacunes entre l’engagement de capital et l’éligibilité au vote. Le long verrouillage de X100 imposait un coût mais ne retardait pas l’autorité. La fenêtre d’Arkadiko permettait aux achats tardifs de devenir un pouvoir de vote immédiat. Aucun des deux systèmes n’exigeait de délai d’attente entre une décision et le mouvement des actifs.
La documentation d’OpenZeppelin distingue le pouvoir de vote historique des verrous temporels d’exécution. L’attaque sur X100 a montré que les prêts flash peuvent contourner la friction du staking. L’attaque sur Arkadiko a montré que les fenêtres de vote peuvent être exploitées en achetant des jetons juste avant l’échéance pour une activation immédiate.
Questions Fréquentes
Combien l’attaquant de X100 a-t-il profité du prêt flash ?
L’attaquant a extrait environ 4,848 millions d’USDT de trois destinataires après avoir remboursé un prêt flash de 1,94 million d’USDT, entraînant une perte du protocole d’environ 6 millions de dollars.
Quand Arkadiko a-t-il restauré ses opérations de coffre légitimes ?
Arkadiko a exécuté la proposition 14 pour restaurer son contrat v1-3 à 07h57 UTC le 27 octobre, après l’attaque du 22 octobre qui a causé une perte estimée à 1,09 million de dollars.
