Sebuah proyek kripto bernama X100 di jaringan Ethereum menjadi korban serangan tata kelola pada Sabtu (24/10/2026). Penyerang berhasil merebut dua dari tiga kursi Senat proyek tersebut dengan keunggulan hanya 0,000001 token X atas pemegang kursi sebelumnya.
Pengambilalihan itu memungkinkan penyerang meloloskan proposal berbahaya yang membuat cadangan proyek menjual ratusan ribu token dengan harga nyaris nol. Rangkaian serangan tersebut menyebabkan sekitar US$4,85 juta dalam USDT terkuras dari likuiditas perdagangan X100.
Berdasarkan investigasi on-chain Bitquery yang diverifikasi pada Minggu (25/10/2026), insiden ini bukan disebabkan pencurian private key, melainkan kelemahan desain sistem tata kelola yang memungkinkan penguasaan hak suara dan pelaksanaan proposal dalam satu transaksi blockchain.
Keanehannya, pelaku tidak perlu menguasai mayoritas keseluruhan pasokan token X. Mereka hanya perlu menempatkan jumlah token sedikit lebih besar daripada pemegang kursi Senat yang ingin disingkirkan.
Selisih 0,000001 Token Cukup untuk Merebut Kursi Senat
X100 memiliki sistem tata kelola bernama Senate yang terdiri atas tiga kursi. Pemegang kursi ditentukan berdasarkan jumlah token X yang dikunci atau dibekukan dalam kontrak pintar bernama Freezer.
Setiap pemegang token dapat mencalonkan diri dengan membayar biaya 100 X. Namun, hanya tiga alamat dengan jumlah token terkunci terbesar yang berhak menduduki kursi tersebut.
Dalam sistem ini, keputusan cadangan token dapat disahkan dengan persetujuan dua dari tiga anggota Senat.
Penyerang memanfaatkan ketentuan tersebut dengan meminjam sekitar 1,94 juta USDT melalui mekanisme flash loan dari Aave. Dana pinjaman kemudian digunakan untuk membeli sekitar 38.200 token X dari pool likuiditas Uniswap.
Token itu dibagi ke dalam dua kontrak yang dikendalikan penyerang. Masing-masing membayar biaya pencalonan 100 X dan mengunci sebanyak 19.000,000001 X.
Jumlah tersebut hanya berbeda 0,000001 X dari kepemilikan terkunci anggota Senat yang berada di peringkat kedua, yakni 19.000 X.
Meski selisihnya sangat kecil, sistem langsung menempatkan kedua kontrak penyerang pada kursi kedua dan ketiga. Dengan demikian, penyerang memperoleh dua dari tiga suara yang diperlukan untuk mengendalikan keputusan cadangan proyek.
Keadaan semakin berbahaya karena sistem X100 tidak mewajibkan masa tunggu sebelum proposal yang memperoleh suara cukup dapat dieksekusi.
Artinya, penyerang dapat membeli token, merebut kursi, mengajukan proposal, menyetujuinya, dan menjalankan keputusan tersebut dalam satu transaksi.
Dalam analisis teknis SigIntZero, celah ini dikaitkan dengan tidak adanya persyaratan umur staking, mekanisme pencatatan hak suara pada waktu tertentu, serta jeda wajib sebelum keputusan dieksekusi.
Cadangan Jual 400.000 Token X Hanya Seharga US$35,68
Setelah menguasai dua kursi Senat, penyerang mengajukan proposal ketujuh yang memerintahkan cadangan X100 menukar 400.000 token X menjadi USDT.
Proposal tersebut bahkan memuat deskripsi yang tidak biasa, yakni “testnet flash governance proof,” sebagaimana tercatat dalam log transaksi blockchain.
Sebelum menjalankan proposal, pelaku telah membuat kumpulan likuiditas baru dengan modal sekitar 100 USDT. Cadangan kemudian diarahkan untuk menjual token X melalui kumpulan likuiditas buatan penyerang tersebut.
Karena parameter minimum penerimaan transaksi ditetapkan sebesar nol, sistem tidak menolak penukaran meskipun hasilnya jauh lebih rendah dibandingkan nilai pasar.
Akibatnya, cadangan menyerahkan 400.000 token X dan hanya menerima sekitar 35,68 USDT.
Padahal, berdasarkan harga token sebelum serangan, jumlah tersebut secara nominal bernilai sekitar US$20,3 juta. Namun, nilai itu tidak mencerminkan dana tunai yang benar-benar tersedia dalam likuiditas pasar.
Penyerang kemudian menarik kembali sebagian besar token dari pool likuiditas buatannya dan menjual sekitar 131.703 X melalui Uniswap, memperoleh sekitar 6,69 juta USDT.
Setelah melunasi pinjaman awal beserta biayanya kepada Aave, penyerang pertama mengantongi sekitar 4,75 juta USDT.
Yang membuat kasus ini semakin ironis, penelitian Bitquery menemukan bahwa sekitar 99 persen USDT yang masuk ke pool likuiditas pada hari tersebut sebelum serangan berasal dari pembelian token X oleh anggota Senat sendiri.
Pembelian terakhir bahkan terjadi hanya sekitar dua menit sebelum transaksi serangan pertama.
Serangan tidak berhenti di sana. Sekitar 24 menit kemudian, alamat lain menggunakan pendekatan serupa dengan pinjaman dari Morpho untuk mengambil alih dua kursi Senat.
Penyerang kedua berhasil memperoleh sekitar 96.382 USDT serta sejumlah token X. Dengan demikian, total USDT yang diambil dalam dua serangan mencapai sekitar 4,85 juta USDT.
Lima menit berikutnya, alamat ketiga memanfaatkan kontrak pembantu yang ditinggalkan penyerang kedua untuk mengeluarkan sekitar 549.916 X tambahan dari likuiditas proyek.
Berdasarkan penelusuran transaksi PublicAML, hasil serangan pertama telah dikonversi menjadi sekitar 2.022,86 ETH dan didistribusikan ke lima wallet. Pada pemeriksaan 25 Oktober, aset tersebut belum berpindah lagi.
Sementara itu, Bitquery menemukan dua kursi Senat masih dikuasai kontrak pembantu penyerang kedua ketika pemeriksaan dilakukan. Meski demikian, terdapat pembatasan dalam kode yang menjaga token pengguna yang dibekukan tetap terpisah dari aset cadangan yang dapat digunakan melalui proposal.
Kasus X100 memperlihatkan bagaimana penguasaan suara sesaat, bahkan dengan selisih hanya sepersejuta token atas pesaingnya, dapat dimanfaatkan untuk menjalankan keputusan bernilai jutaan dolar ketika sistem tata kelola tidak memiliki pengamanan yang memadai.
Itulah rangkuman berita kripto hari ini yang bisa kamu simak untuk mengikuti perkembangan dunia aset digital dan teknologi blockchain. Tetap pantau Blockchain Media Indonesia untuk update terbaru seputar pasar kripto, berita bitcoin, hingga panduan belajar crypto untuk kamu yang masih pemula. [st]
Disclaimer: Konten di Blockchainmedia.id hanya bersifat informatif, bukan nasihat investasi atau hukum. Segala keputusan finansial sepenuhnya tanggung jawab pembaca.