X 100 Global : une prise de contrôle de la gouvernance aurait permis de vider la trésorerie

Une attaque sur les droits de décision

Des équipes de sécurité ont signalé le 24 octobre une prise de contrôle de la gouvernance de X 100 Global, rapporte Bitcoin.com News. Le scénario décrit repose sur l’obtention de deux sièges parmi les trois du « Sénat » du projet, puis sur l’utilisation de cette majorité pour déplacer des actifs de sa trésorerie. Il ne s’agit pas d’une attaque contre une institution parlementaire. Blockaid évalue les produits extraits en USDT à environ 4,85 millions de dollars, avec des mouvements supplémentaires de jetons.

Les analyses publiées décrivent une défaillance d’organisation des droits de vote plutôt qu’une simple erreur dans une ligne de code. Un contrat peut exécuter correctement les règles programmées tout en autorisant une décision dangereuse si ces règles permettent de prendre rapidement le contrôle. La sécurité d’une trésorerie dépend donc aussi de la manière dont les votes sont acquis, comptés et exécutés. Le fonctionnement technique du contrat ne garantit pas que sa gouvernance résiste à un acteur cherchant à détourner le mécanisme.

Le rôle du prêt instantané

Selon l’analyse d’Exvul citée dans le récit, les attaquants auraient utilisé un prêt instantané pour acquérir la puissance de vote nécessaire. Ce type de prêt doit être remboursé dans la même transaction, faute de quoi l’opération est annulée selon son fonctionnement prévu. Il permet de mobiliser temporairement un capital important. Ce n’est pas en soi une fraude : le risque apparaît lorsqu’un autre mécanisme traite cette puissance temporaire comme un droit durable de décision ou de contrôle.

Des historiques de vote, des durées minimales de détention ou des délais avant exécution peuvent limiter certains scénarios, selon la conception retenue. Leur efficacité dépend des règles précises et des pouvoirs qui restent disponibles. L’existence de telles protections ne doit pas être supposée lorsqu’elle n’est pas établie dans le projet concerné. Dans le scénario rapporté pour X 100 Global, l’acquisition rapide de sièges et l’exécution immédiate des décisions auraient rendu possible l’enchaînement entre financement, prise de contrôle et sortie des actifs.

Un prix qui ne garantit pas la sortie

Le jeton X a fortement reculé après l’incident, tandis que les analyses décrivent un assèchement de la liquidité sur certains marchés décentralisés. Le dernier prix affiché ne garantit alors pas qu’un détenteur puisse vendre une quantité importante à ce niveau. Dans un pool peu profond, un ordre peut déplacer fortement le taux d’échange et produire un écart entre le prix attendu et celui obtenu. Une variation de cours et une perte de liquidité sont liées, mais constituent deux mesures différentes de la situation.

Les montants extraits et la chronologie doivent rester associés aux mises à jour des équipes de sécurité. Un bilan publié pendant l’incident peut évoluer lorsque d’autres transactions sont identifiées. Il ne permet pas de promettre une récupération des fonds ni de désigner un responsable individuel sans éléments supplémentaires. Le cas met surtout en évidence le rôle économique des règles de gouvernance : la protection d’une trésorerie exige de contrôler qui peut décider, avec quels droits et après quel délai, autant que l’exécution des contrats eux-mêmes.