10 月 24 日，以太坊 DeFi 项目 X100 遭遇治理攻击，约 485 万枚 USDT 被盗。GMGN 数据显示，X 代币市值从攻击前约 7.6 亿美元跌至约 2400 万美元，单日跌幅超过 96%。
X100 金库原本由三个 Senate「参议院」席位共同管理。攻击者利用闪电贷借来的资金拿下其中两席，在取得多数票后提交恶意提案，再用自己控制的席位投票通过，让金库批准向其控制地址转移资产的交易。首轮攻击完成后，其他攻击者又沿用同一治理机制，继续转走项目资产。
X100 的三席治理结构如何被夺取
X100 的金库由名为 Senate 的三席治理席位管理，成员通过投票决定金库代币出售、流动性投放等操作。只要控制三席中的两席，就能通过提案并调动金库资产。
持有人需要将项目代币 X 存入 Freezer 合约，选择冻结一年、三年或五年，再支付 100 枚 X 的报名费，才可参与竞选。三个席位按照参选地址当前冻结余额实时排序，排名前三的地址获得治理权。
这套机制没有限制同一控制者通过多个地址取得席位，也没有设置治理权生效等待期。结果是，只要两个受控地址的冻结余额同时进入前三，攻击者就能立刻掌握多数票；而提案一旦通过，也可以立即执行，夺取席位和转移资产得以放在同一笔交易里完成。
攻击发生前，第二席地址冻结了约 19,000 枚 X。10 月 24 日 22 时 11 分，黑客通过 Aave 闪电贷借入约 194 万枚 USDT，买入 X 并分配给两个辅助合约，分别完成冻结和竞选。两个合约各自冻结 19,000.000001 枚 X，只比原第二席多出百万分之一枚代币，便同时占据第二、第三席，将原第二席挤出治理名单。
恶意提案如何让金库以 35.68 美元卖出 40 万枚 X
拿到两席后，黑客随即提交恶意提案，要求金库将 40 万枚 X 卖入其自行创建的 PancakeSwap V3 X/USDT 池子，并把最低接收金额设为 0。随后，攻击者再通过另一个受控合约投票支持，使提案以两票通过并立即执行。
GoPlus 分析称，X100 允许治理提案指定交易池，但缺乏有效的最低成交额保护。攻击者既能决定金库向哪里卖币，也能自行设定成交条件，再用自己控制的多数票批准交易。
这个池子在同一笔交易中由黑客创建，流动性仅约 100 美元。当金库将 40 万枚 X 卖入该池时，池子只能支付极少量 USDT；而由于最低接收金额被设为 0，交易不会因为回报过低而失败。最终，金库交出 40 万枚 X，只换回约 35.68 美元。
随后，黑客撤出自建池子的流动性，取回其中的 X，再将部分代币卖入已有的 Uniswap V3 X/USDT 交易池，换取 USDT。偿还闪电贷等支出后，首名黑客获利约 475 万枚 USDT。
从借款买币、夺取席位，到批准金库低价卖币、套现还款，整个过程都在同一笔交易中完成。金库交出的代币成了黑客后续套现的筹码，真实交易池中的 USDT 则被用于偿还借款并形成攻击收益。
不到半小时内连续三轮攻击
首轮攻击发生约 24 分钟后，第二名黑客再次通过闪电贷夺取两个治理席位，移除 Freezer 持有的部分 Uniswap V3 流动性头寸，并利用自建交易池继续转走资产，取得约 9.64 万枚 USDT。
约 5 分钟后，第三个钱包利用第二名黑客留下、未限制调用者的辅助合约，直接借用其治理席位通过提案，转走约 55 万枚 X。前两轮攻击共造成约 485 万枚 USDT 损失，第三轮攻击另有约 55 万枚 X 被转走，三轮攻击发生在不到半小时内。
Bitquery 追踪显示，首名黑客在攻击后数分钟内将主要 USDT 收益兑换为 ETH，随后分散至 5 个钱包，合计约 2,022.86 ETH。第二名黑客则将 USDT 兑换为 ETH，经中转地址转向 ChangeNOW，整个转移过程约耗时 21 分钟。
治理权限一旦失守，资产转移很快就从首名黑客的单笔攻击，演变为多个钱包接连参与的套取。后续参与者甚至不需要重新买币竞选，就能利用已有权限继续转走资产。
DAO 治理攻击的门槛正在下降
X100 并不是孤例，治理攻击也不一定要求攻击者事先投入巨额资金。攻击者既可以直接购买代币取得投票权，也可以利用较低的提案门槛寻找机会；而闪电贷的存在，又让借来的资金也能参与治理夺权。
今年以来，类似治理攻击已多次造成大额损失。7 月，Bonk DAO 攻击者花费约 409 万美元购入占供应量 1.003% 的代币，刚好超过治理批准门槛，随后通过恶意提案转走约 2050 万美元资产，投票结束后还取回了质押代币。8 月，Term Finance 因治理攻击损失约 850 万美元。即便需要投入数百万美元购买投票权，这笔资金也未必是攻击者最终承担的成本。
部分未遂攻击的门槛甚至只有几百美元。3 月，Moonwell 攻击者仅花费约 1808 美元购入 MFAM 并自我委托，便提交恶意提案，试图取得涉及约 108 万美元用户资金的 7 个借贷市场及核心合约管理权。9 月，Olas 攻击者仅花费约 135 美元锁定 5100 枚 OLAS，便超过提案门槛。两次攻击虽然都被拦截，但也说明攻击者不一定需要掌握多数票，仅取得提案资格就可能制造攻击机会。
10 月 22 日，Arkadiko 也遭遇治理攻击。攻击者购入足够数量的 DIKO，独自投票通过引入恶意合约的提案，期间没有反对票，据估算损失约 109 万美元。
X100 事件暴露出的风险很直接：治理权可以借来，提案通过后资产就能被转走。当金库控制权能够在极短时间内易手，DAO 的治理安全设计就不再只是流程问题，而是资产安全本身。