Атаки на управление X100 и Arkadiko принесли хакерам около $6 млн

24 октября атакующий получил два места в Сенате проекта X100 — токен-проекте, чьё казначейство управляется держателями голосов. Два вспомогательных контракта заморозили по 19 000,000001 X на год, сразу вошли в рейтинг кандидатов и проголосовали за предложение №7 — и всё это в рамках одной транзакции. По правилам, большинство в Сенате давало право исполнять решения без периода ожидания, а два места из трёх как раз хватило для немедленных действий.

Одобренная сделка вывела 400 000 X из казначейства в пул, который атакующий создал сам. Контракт Freezer получил лишь 35,675313 USDT, после чего злоумышленник извлёк токены из пула, продал X и за эти деньги погасил флэш-кредит — около 1,94 млн USDT с процентами. После возврата кредита первому получателю поступило около 4,75 млн USDT; по оценке аналитика ChainBounty Philippark, суммарно на три адреса ушло 4,848 млн USDT.

Второй случай произошёл в протоколе Arkadiko. Голосование по предложению №12 шло с 17 по 22 октября, но правила допускали покупку токенов незадолго до конца ballot. Кошелёк-инициатор купил около 4,573 млн DIKO и проголосовал за несколько минут до закрытия — по оценке Bitquery, покупка обошлась примерно в $51 000, причём 77% STX для неё взяли со средств предыдущего взлома StackSwap. Одобренный контракт не проверял права вызывающего и позволил вывести активы из хранилищ: похитили stSTX, sBTC и STX на общую сумму около $1,09 млн.

Arkadiko отключила вредоносный контракт и приостановила управление, погашение займов и ликвидации. 27 октября предложение №14 восстановило легитимный контракт операций с хранилищами, но компенсацию пострадавшим пока не подтвердили.