Toma de control de la gobernanza del Senado de X100 Global

El 24 de octubre de 2026, X100 Global perdió aproximadamente 4,85 millones de dólares después de que un atacante usara un préstamo relámpago para tomar el control del "Senado" de gobernanza on-chain del proyecto e impulsar una propuesta maliciosa que drenó la tesorería. La firma de monitoreo Blockaid señaló el exploit en curso en Ethereum a media mañana (hora de EE. UU.), y el token X del proyecto se desplomó posteriormente más de un 96 %.

Qué ocurrió

X100 Global gobernaba su tesorería mediante un "Senado" de tres escaños cuya composición se ordenaba según el stake "congelado" en vivo, sin instantánea de votación, sin periodo mínimo de tenencia y sin retardo de ejecución entre proponer, votar y ejecutar. Según BlockSec, Blockaid y una reconstrucción de DeFiHackLabs, el atacante explotó ese diseño en lugar de un error de programación convencional.

El atacante tomó prestados alrededor de 1,94 millones de USDT de Aave, compró tokens X en un pool profundo de Uniswap y los dirigió a contratos auxiliares para ocupar dos de los tres escaños del Senado en una sola transacción. Con la mayoría, el atacante propuso, votó y ejecutó una acción de tesorería en el mismo bloque: una propuesta maliciosa trasladó 400.000 X fuera de la tesorería "Freezer" del proyecto a un pool de Uniswap V3 controlado por el atacante, devolviendo solo unos 36 USDT a la tesorería. El atacante vendió los tokens extraídos, y Blockaid rastreó unos 4,85 millones de USDT en ganancias a lo largo de la operación. BlockSec situó la cifra algo más baja, en unos 4,75 millones de dólares.

Consecuencias

En el momento de las primeras divulgaciones, X100 Global no había publicado una declaración oficial, ni nombrado una causa raíz, ni reportado recuperación alguna. Blockaid y Exvul hicieron público el incidente mientras aún se desarrollaba; unos 12,2 millones de X permanecían en el Freezer según la actualización citada de Blockaid. El token X cayó del rango de 50–60 dólares a aproximadamente 1,75 dólares, y la liquidez en varios pools descentralizados se evaporó hasta casi cero. En la cobertura pública no se estableció identidad del atacante, etiqueta de billetera ni dirección on-chain confirmada.

Por qué importa

La pérdida de X100 es una toma de gobernanza con préstamo relámpago de manual: cuando el poder de voto puede alquilarse por un solo bloque y una propuesta puede crearse, aprobarse y ejecutarse sin instantánea ni timelock, un atacante no necesita un error de código para vaciar una tesorería. Es la misma clase de ataque que permitió a un préstamo relámpago de 1.000 M comprar el 67 % de la gobernanza de Beanstalk el tiempo suficiente para drenar 182 M USD, y rima con la manipulación de colateral y votos detrás de Mango Markets. La defensa es aburrida pero decisiva — instantáneas de votación anteriores a la propuesta, periodos mínimos de tenencia y un retardo obligatorio entre una votación aprobada y su ejecución — y X100 no tenía ninguna de ellas.