Un ataque a la gobernanza permitió que dos contratos inteligentes obtuvieran mayoría en el Senado de X100 y desviaran activos de su tesorería. El análisis de las transacciones situó las pérdidas en 4.846.108 USDT, mientras el token X perdió más de 96% de su valor.
***

• Los atacantes usaron un préstamo relámpago de 1,94 millones de USDT para comprar y distribuir tokens X, con los que tomaron dos de los tres escaños del Senado.
• Una propuesta maliciosa permitió vender 400.000 tokens X de la tesorería a través de un pool con muy poca liquidez.
• Los fondos se convirtieron en 2.022,86 ETH y se repartieron entre cinco billeteras; no se había confirmado un plan de recuperación para los afectados.

---

X100 pierde USD 4,85 millones tras un ataque a su gobernanza

Con un préstamo relámpago de 1,94 millones de USDT, los atacantes tomaron 2 de 3 escaños del Senado y aprobaron ventas desde la tesorería.

Los fondos se cambiaron por 2.022,86 ETH. El token X cayó más de 96%. pic.twitter.com/juPUpnYpmA

— Diario฿itcoin (@DiarioBitcoin) October 26, 2026

X100 perdió casi USD 4,85 millones en un ataque que secuestró su gobernanza

El protocolo DeFi X100 sufrió un exploit el 24 de octubre, cuando atacantes manipularon su sistema de gobernanza para aprobar operaciones contra la tesorería. El episodio dejó pérdidas calculadas en 4.846.108 USDT y expuso cómo una mayoría de voto temporal, combinada con la ejecución inmediata de propuestas, puede convertir las reglas internas de un protocolo en una vía para retirar activos.

El ataque no dependió del robo de una clave privada, sino de la posibilidad de obtener poder de voto suficiente para controlar dos de los tres escaños del Senado de X100. Los atacantes aprovecharon un préstamo relámpago, distribuyeron tokens entre contratos recién desplegados y aprobaron una propuesta que dirigió activos hacia pools de liquidez bajo su control.

Un préstamo relámpago dio a los atacantes mayoría en el Senado

La primera operación comenzó cerca de las 14:11 UTC del 24 de octubre, cuando un atacante obtuvo alrededor de 1,94 millones de USDT mediante un préstamo relámpago de Aave. Este tipo de préstamo permite movilizar fondos sin garantía tradicional, siempre que el capital prestado vuelva al prestamista dentro de la misma transacción de blockchain, una condición que puede servir para financiar maniobras de gran escala durante unos instantes.

Con esos fondos, el atacante compró aproximadamente 38.200 tokens X y los repartió entre dos contratos inteligentes que acababa de desplegar. Cada contrato puso en staking un poco más de 19.000 tokens X en el sistema Freezer de X100, con lo que consiguió controlar dos de los tres escaños del Senado y formar una mayoría capaz de aprobar una propuesta maliciosa.

La secuencia muestra que la adquisición de poder de voto no fue una operación independiente del retiro de fondos: el préstamo financió la compra de tokens, y esos tokens permitieron tomar temporalmente el control de las decisiones del protocolo. Según la investigación de la firma de análisis blockchain Bitquery, el diseño de X100 no imponía un período obligatorio de espera entre la aprobación de una propuesta y su ejecución.

Ese vacío redujo el tiempo disponible para detectar o detener la maniobra. Una vez que los contratos obtuvieron los escaños necesarios, pudieron aprobar y ejecutar las instrucciones sobre la tesorería sin una demora que separara la votación de la acción, lo que hizo posible combinar financiamiento, control de gobernanza y extracción de activos en una misma operación.

Una venta en un pool con poca liquidez drenó la tesorería

Después de tomar el control del Senado, los atacantes instruyeron a la tesorería del Freezer para que vendiera 400.000 tokens X en un pool de PancakeSwap creado especialmente para la operación. El pool contenía muy poco USDT, una condición que dejó al protocolo expuesto a un precio extremadamente desfavorable y permitió que los atacantes adquirieran los tokens de la tesorería por cerca de 35,68 USDT.

Los tokens obtenidos de esa manera pasaron luego por otro pool de liquidez, donde los atacantes los vendieron y recibieron alrededor de 6,69 millones de USDT antes de devolver el préstamo relámpago. Tras saldar el capital prestado, la operación inicial dejó cerca de USD 4,75 millones en ganancias para quienes la ejecutaron, de acuerdo con el desglose publicado sobre las transacciones.

El análisis de Bitquery identificó tres transacciones vinculadas al incidente, aunque precisó que las pérdidas en stablecoins se concentraron en dos de ellas. En conjunto, esas dos operaciones representaron 4.846.108 USDT; la tercera involucró principalmente el retiro de alrededor de 550.000 tokens X de posiciones de liquidez del protocolo, por lo que no corresponde sumar ese monto como si fuera otra pérdida de stablecoins.

La primera incursión ocurrió 47 minutos después de la última gran transferencia a la tesorería, según el análisis de las operaciones. La cronología ayuda a situar el momento en que los activos quedaron expuestos, pero la información disponible no atribuye esa transferencia previa al ataque ni indica que, por sí sola, haya causado la vulnerabilidad.

Los fondos terminaron en cinco billeteras y el token X se desplomó

Después del primer ataque, los responsables convirtieron alrededor de 4,75 millones de USDT en 2.022,86 ETH a través de UniswapX. Luego distribuyeron los fondos entre cinco direcciones de Ethereum: cuatro recibieron 400 ETH cada una y una quinta conservó aproximadamente 422,86 ETH.

En su análisis del 25 de octubre, Bitquery indicó que esos ETH seguían sin moverse en el momento de la revisión. La información ofrece una fotografía de las billeteras en esa fecha, pero no confirma qué ocurrió con los fondos después ni permite afirmar que las direcciones sigan bajo las mismas condiciones actualmente.

El incidente tampoco terminó con la extracción inicial. Unos 24 minutos después, otra billetera explotó la misma debilidad de gobernanza y retiró 96.382 USDT adicionales, mientras que una tercera transacción sacó cerca de 550.000 tokens X de posiciones de liquidez vinculadas al protocolo.

La cotización del token X cayó más de 96% a medida que la liquidez desaparecía, por lo que los precios de mercado publicados se volvieron cada vez menos fiables. Bitquery calculó que unos 12,17 millones de tokens X permanecían en el contrato Freezer y señaló que dos escaños del Senado seguían bajo el control de contratos asociados con un atacante posterior.

El diseño de gobernanza quedó bajo escrutinio

La falla no consistió únicamente en que los atacantes pudieran reunir suficientes tokens para obtener votos. El sistema también permitió que miembros recién nombrados del Senado aprobaran y ejecutaran propuestas de inmediato, sin un período de espera obligatorio que diera margen para revisar una decisión antes de que afectara los activos de la tesorería.

Además, la propuesta controlada por los atacantes admitía un precio mínimo de venta de cero. Esa condición, combinada con un pool que apenas tenía USDT, permitió ejecutar una venta a un precio profundamente desfavorable para X100 y convirtió la propia lógica de gobernanza en parte del mecanismo de extracción.

El caso ilustra un riesgo más amplio para los protocolos DeFi que basan su gobernanza principalmente en la tenencia de tokens: un actor que consiga reunir poder de voto, aunque sea temporalmente, puede adquirir influencia sobre decisiones que mueven fondos reales. Las instantáneas de votación, los retrasos de ejecución y las restricciones a las operaciones de tesorería pueden dificultar ataques similares, aunque ninguna de esas medidas elimina por sí sola todos los riesgos.

Al momento de la evaluación de Bitquery, no se había confirmado un plan de recuperación ni un acuerdo de compensación para los afectados. El exploit deja como saldo pérdidas reportadas de 4.846.108 USDT, una fuerte caída del token X y preguntas sobre qué controles puede incorporar X100 para impedir que una mayoría obtenida en una sola operación autorice retiros inmediatos.

---

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.