Ethereum tabanlı X 100 Global, üç kişilik yönetim senatosunun saldırganlar tarafından flash-loan yöntemiyle ele geçirilmesiyle 24 Ekim Cumartesi günü büyük bir güvenlik ihlaline uğradı. Onchain güvenlik firmaları Blockaid ve Exvul'un verilerine göre yaklaşık 4,85 milyon dolar değerinde USDT çekilirken, projenin yerel varlığı X token piyasa likiditesinin buharlaşmasıyla %96'dan fazla değer kaybetti.
Ethereum tabanlı merkeziyetsiz kripto projesi X 100 Global, 24 Ekim Cumartesi günü akıllı sözleşme kodlama hatasından ziyade, yönetim mekanizmasındaki yapısal bir zaafiyet nedeniyle büyük bir güvenlik ihlaline sahne oldu. Onchain güvenlik firmaları Blockaid ve Exvul tarafından paylaşılan raporlara göre, saldırganlar projenin üç üyeli karar mekanizmasını flaş kredi (flash loan) finansmanıyla ele geçirerek hazineden yaklaşık 4,85 milyon dolar değerinde USDT çekti. Bu operasyonun ardından projenin yerel varlığı X token, Uniswap havuzlarındaki likiditenin erimesiyle birlikte %96'dan fazla çöküş yaşadı.
Yönetim Mekanizmasındaki Açık Nasıl Kullanıldı?
Saldırının kök nedeni, geleneksel akıllı sözleşme açıklarından farklı olarak projenin yönetişim mimarisindeki tasarım eksikliklerine dayanıyor. Exvul analistlerinin detaylandırdığına göre, saldırganlar Aave protokolü üzerinden yaklaşık 1,94 milyon USDT tutarında flash loan kullanarak X token satın aldı ve ardından yardımcı sözleşmeler kaydetti. Bu hamle, projenin toplam üç koltuktan oluşan yönetim senatosundaki iki koltuğun kontrolünü ele geçirmelerini sağladı.
Sistemin temel açığı ise oy snapshot'ları (anlık görüntüleri), minimum elde tutma süreleri ve yürütme gecikmelerinin bulunmayışıydı. Bu eksiklikler sayesinde saldırganlar, oy gücünü anında elde ederek kötü amaçlı teklifleri onayladı ve işlemleri gecikmeksizin hayata geçirdi. Yapılan işlemlerden birinde, projenin 'Freezer' adı verilen hazinesinden 400.000 X token doğrudan saldırgan kontrolündeki bir likidite havuzuna aktarıldı ve tokenler meşru bir Uniswap V3 havuzu üzerinden tasfiye edildi.
4,85 Milyon Dolarlık Çıkış ve Piyasada Likidite Kaybı
Blockaid, Exvul ve diğer onchain güvenlik ekiplerinin yürüttüğü işlem analizleri, üç ayrı işlem üzerinden yaklaşık 4,85 milyon dolar değerinde USDT ve yaklaşık 550,000 X tokenin cüzdanlardan çıkarıldığını doğruladı. Operasyonun devam eden aşamalarında ilave Uniswap V3 likidite pozisyonları da hedef alındı.
Yaşanan gelişmeler piyasada sert yankı uyandırdı. X token, olay öncesinde işlem gördüğü 50-60 dolar aralığından 1,75 dolar seviyelerine kadar geriledi. Merkeziyetsiz borsalardaki (DEX) işlem verileri, bazı likidite ölçümlerinin birkaç dolara kadar düştüğünü ve anlamlı satış emirlerinin olağanüstü fiyat kaymalarına (slippage) açık hâle geldiğini gösterdi. Blockaid'in olayın devam ettiğini bildirdiği son güncellemesinde, Freezer hazinesinde yaklaşık 12,2 milyon X tokenin kaldığı tahmin ediliyordu.
Doğrulanan Veriler ve Piyasaya Etkisi
Bu olay, piyasa takipçilerinin raporladığı üzere, Bitcoin'in 80.000 dolar sınırının altına gerilediği ve hafta sonu işlemleri sırasında yüz milyonlarca dolarlık kaldıraçlı pozisyonun tasfiye edildiği hassas bir piyasa dönemine denk geldi.
Doğrulanan Temel Gerçekler: - Blockaid tarafından takip edilen yaklaşık 4,85 milyon dolarlık USDT çıkışı. - Exvul tarafından tespit edilen, Aave flash loan kullanılarak iki senato koltuğunun ele geçirilme yöntemi. - X token fiyatının 50-60 dolar seviyesinden %96'dan fazla düşerek 1,75 dolara gerilemesi.
Belirsizlikler: Olayın raporlandığı ilk saatlerde X 100 Global projesinden veya resmi sosyal medya kanallarından herhangi bir açıklama yapılmadı. Proje yönetiminin hack girişimine resmi olarak ne zaman yanıt vereceği veya kalan varlıkları güvence altına almak için bir geri alma planı olup olmadığı belirsizliğini koruyor.
