X 100 Global : una toma de control de la gobernanza habría permitido vaciar la tesorería

Una toma de control de los derechos de decisión

Los equipos de seguridad informaron el 24 de octubre una toma de control de la gobernanza de X 100 Global, informa Bitcoin.com News. El escenario descrito se basa en obtener dos de los tres escaños del 'Senado' del proyecto, y luego utilizar esa mayoría para mover activos de su tesorería. No se trata de un ataque contra una institución parlamentaria. Blockaid estima los productos extraídos en USDT en unos 4,85 millones de dólares, con movimientos adicionales de tokens.

Los análisis publicados describen un fallo de organización de los derechos de voto en lugar de un simple error en una línea de código. Un contrato puede ejecutar correctamente las reglas programadas mientras autoriza una decisión peligrosa si esas reglas permiten tomar el control rápidamente. La seguridad de una tesorería depende, por tanto, también de la forma en que se adquieren, cuentan y ejecutan los votos. El funcionamiento técnico del contrato no garantiza que su gobernanza resista a un actor que busca desviar el mecanismo.

El papel del préstamo instantáneo

Según el análisis de Exvul citado en la narración, los atacantes habrían utilizado un préstamo instantáneo para adquirir el poder de voto necesario. Este tipo de préstamo debe devolverse en la misma transacción, de lo contrario la operación se cancela según su funcionamiento previsto. Permite movilizar temporalmente un capital importante. No es en sí mismo una estafa: el riesgo aparece cuando otro mecanismo trata ese poder temporal como un derecho duradero de decisión o control.

Los historiales de voto, las duraciones mínimas de tenencia o los plazos antes de la ejecución pueden limitar ciertos escenarios, según el diseño adoptado. Su eficacia depende de las reglas precisas y de los poderes que siguen disponibles. La existencia de tales protecciones no debe asumirse cuando no está establecida en el proyecto concernido. En el escenario reportado para X 100 Global, la adquisición rápida de escaños y la ejecución inmediata de las decisiones habrían hecho posible la cadena entre financiación, toma de control y salida de los activos.

Un precio que no garantiza la salida

El token X cayó fuertemente después del incidente, mientras que los análisis describen un agotamiento de la liquidez en ciertos mercados descentralizados. El último precio mostrado entonces no garantiza que un tenedor pueda vender una cantidad importante a ese nivel. En un pool poco profundo, una orden puede mover fuertemente la tasa de cambio y producir un hueco entre el precio esperado y el obtenido. Una variación de precio y una pérdida de liquidez están relacionadas, pero constituyen dos medidas diferentes de la situación.

Las cantidades extraídas y la cronología deben mantenerse asociadas a las actualizaciones de los equipos de seguridad. Un balance publicado durante el incidente puede evolucionar cuando se identifican otras transacciones. No permite prometer una recuperación de fondos ni designar a un responsable individual sin elementos adicionales. El caso pone sobre todo en evidencia el papel económico de las reglas de gobernanza: proteger una tesorería exige controlar quién puede decidir, con qué derechos y después de qué plazo, tanto como la ejecución de los contratos mismos.