Взлом X100: как украли $4,75 млн и что известно сейчас

24 октября в 17:11 МСК неизвестный за одну транзакцию в сети Ethereum захватил управление протоколом X100 и вывел около $4,75 млн в USDT. Атакующий взял флеш-кредит, занял два из трёх мест в управляющем органе проекта («Сенате») и провёл решение, по которому казна продала 400 000 токенов X примерно за 36 USDT. С учётом следующих транзакций фирма Blockaid оценивает ущерб в $4,85 млн. Токен X за сутки подешевел на 96%.

Что известно сейчас

• Основная атака — одна транзакция 24 октября в 17:11:47 МСК, блок 26 263 022; чистая прибыль атакующего — около 4,75 млн USDT (Panda Security).
• Всего, по данным Blockaid, выведено около 4,85 млн USDT; после первого атакующего ту же уязвимость использовали ещё двое (Phemex со ссылкой на Blockaid, Panda Security).
• Деньги обменяны на ETH и лежат на четырёх кошельках, по 400 ETH на каждом; около 560 000 X атакующие ещё не продали (Chainalysis, по Cryptonomist).
• Основной пул X/USDT на Uniswap к 11:25 МСК 25 октября показывал −96,6% за сутки, цена около $1,75, ликвидность — около $340 (DexScreener).
• Заявления команды X100, заморозок средств и предложения награды за возврат мы на момент публикации не нашли.

Как это произошло

X100 — токен X стандарта ERC-20 в сети Ethereum. Ликвидностью проекта распоряжается «Сенат» из трёх мест. Токены для участия замораживают в контракте Freezer, он же хранит казну. По разбору Panda Security, уязвимость сложилась из трёх особенностей:

1. Вход в «Сенат» мгновенный и открытый всем: достаточно заплатить 100 X, ждать или держать токены какое-то время не нужно.
2. Места получают владельцы самых крупных замороженных балансов на текущий момент. Снимка балансов заранее нет, поэтому голоса можно взять в долг на несколько секунд.
3. Предложение выдвигают, голосуют и исполняют в одной транзакции: таймлока, то есть задержки перед исполнением, нет.

Атакующий взял флеш-кредит примерно на 1,94 млн USDT (заём, который нужно вернуть в той же транзакции) и купил около 38 200 X. Затем создал два вспомогательных контракта и заморозил в каждом по 19 000 X — чуть больше, чем у действующих сенаторов. Так он вытеснил их и получил два места из трёх.

Большинством он принял и тут же исполнил предложение: казна продала 400 000 X в созданный им пул на PancakeSwap V3, где почти не было USDT. В итоге токены казны достались ему примерно за 35,68 USDT. После этого из позиций Uniswap V3, которыми управлял Freezer, было выведено около 131 700 X и примерно 6,69 млн USDT. За вычетом возвращённого кредита осталось около 4,75 млн USDT.

Хроника

24 октября, 17:11 МСК. Основная атакующая транзакция с адреса 0x7ec2afdf3ec5964899894f8d58afa95cbb8ffd63. Пострадавший контракт Freezer — 0x79f35a33fe2813414851c4ae8daeacd14d822a46, координирующий контракт — 0x37541fc4a6f1ec86889ba506f51dc39f2bedd10a (Etherscan, Panda Security).

24 октября, 17:49 МСК. Blockaid сообщила о продолжающейся атаке на X100 и оценила ущерб в 4,85 млн USDT по двум транзакциям. По её данным, второй атакующий уничтожил позиции ликвидности Uniswap V3 контракта Freezer. Компания опубликовала адреса и примеры транзакций (Phemex).

24 октября, вечер. Panda Security опубликовала технический разбор. По нему третий участник тем же способом через «Сенат» вывел около 550 000 X (Panda Security).

К полуночи 25 октября МСК. Chainalysis проследила движение средств: стейблкоины обменяны на ETH и разложены по четырём кошелькам по 400 ETH. Около 560 000 X остаются на адресах атакующих (Cryptonomist, Coinfomania, ForkLog).

25 октября, 11:25 МСК. Основной пул X/USDT на Uniswap: −96,6% за сутки, цена около $1,75 (DexScreener).

Куда ушли деньги

Chainalysis насчитала четыре кошелька, на каждом по 400 ETH (Cryptonomist). О переводах в миксеры, через мосты или на биржи сообщений пока не было. Непроданные X распределены так: около 560 000 X на адресах атакующих по Chainalysis, около 268 000 X — на атакующем контракте по подсчёту Panda Security. Источники считают по-разному, поэтому цифры не совпадают.

Что сделали команда и биржи

Официального заявления X100 мы не нашли. Нет данных о заморозке средств, переговорах с атакующим, награде за возврат или постмортеме. Сообщений о блокировке кошельков биржами тоже не было. Тревогу подняли сторонние фирмы: Blockaid, Chainalysis, Panda Security.

Что это значит для держателей

Деньги ушли из казны протокола и его ликвидности, а не с кошельков пользователей. Но у токена почти не осталось ликвидности: в основном пуле, по данным DexScreener, около $340. Продать X сейчас можно только с большим проскальзыванием. Ещё сотни тысяч X лежат у атакующих. Возместят ли что-то держателям, зависит от решений команды, которых пока нет.

Сам приём известен давно. Если протокол не делает снимок балансов заранее и не ставит задержку между голосованием и исполнением, голоса можно взять в долг на одну транзакцию.

Другой взлом этой недели — в нашей хронике Initia. Курс ETH — на странице Ethereum.

Это не инвестиционный совет.

Статья дополняется: мы следим за развитием событий и добавляем новые данные. Последнее обновление — 25 октября 2026, 11:40 МСК.