Prise de contrôle de la gouvernance du Sénat de X100 Global

Le 24 octobre 2026, X100 Global a perdu environ 4,85 millions de dollars après qu'un attaquant a utilisé un flash loan pour prendre le contrôle du « Sénat » de gouvernance on-chain du projet et faire adopter une proposition malveillante vidant la trésorerie. La société de surveillance Blockaid a signalé l'exploit en cours sur Ethereum en fin de matinée (heure des États-Unis), et le token X du projet s'est ensuite effondré de plus de 96 %.

Ce qui s'est passé

X100 Global gouvernait sa trésorerie via un « Sénat » de trois sièges dont la composition était classée selon le stake « gelé » en temps réel, sans instantané de vote, sans période de détention minimale et sans délai d'exécution entre la proposition, le vote et l'exécution. Selon BlockSec, Blockaid et une reconstruction de DeFiHackLabs, l'attaquant a exploité cette conception plutôt qu'un bug de programmation classique.

L'attaquant a emprunté environ 1,94 million d'USDT à Aave, acheté des tokens X dans un pool Uniswap profond et les a acheminés vers des contrats auxiliaires pour occuper deux des trois sièges du Sénat en une seule transaction. Disposant de la majorité, l'attaquant a ensuite proposé, voté et exécuté une action de trésorerie dans le même bloc : une proposition malveillante a déplacé 400 000 X hors de la trésorerie « Freezer » du projet vers un pool Uniswap V3 contrôlé par l'attaquant, ne rendant qu'environ 36 USDT à la trésorerie. L'attaquant a vendu les tokens extraits, et Blockaid a retracé environ 4,85 millions d'USDT de produits sur l'ensemble de l'opération. BlockSec a avancé un chiffre un peu plus bas, d'environ 4,75 millions de dollars.

Conséquences

Au moment des premières divulgations, X100 Global n'avait publié aucune déclaration officielle, ni nommé de cause racine, ni signalé de récupération. Blockaid et Exvul ont rendu l'incident public alors qu'il était encore en cours ; environ 12,2 millions de X restaient dans le Freezer selon la mise à jour citée de Blockaid. Le token X est tombé de la fourchette 50–60 dollars à environ 1,75 dollar, et la liquidité de plusieurs pools décentralisés s'est évaporée jusqu'à presque zéro. Aucune identité d'attaquant, étiquette de portefeuille ou adresse on-chain confirmée n'avait été établie dans la couverture publique.

Pourquoi c'est important

La perte de X100 est une prise de gouvernance par flash loan d'école : lorsque le pouvoir de vote peut être loué pour un seul bloc et qu'une proposition peut être créée, approuvée et exécutée sans instantané ni timelock, un attaquant n'a besoin d'aucun bug de code pour vider une trésorerie. C'est la même classe d'attaque qui a permis à un flash loan d'un milliard d'acheter 67 % de la gouvernance de Beanstalk assez longtemps pour drainer 182 M$, et elle fait écho à la manipulation de collatéral et de votes derrière Mango Markets. La défense est ennuyeuse mais décisive — des instantanés de vote antérieurs à la proposition, des périodes de détention minimales et un délai obligatoire entre un vote adopté et son exécution — et X100 n'avait aucun de ces éléments.