Bei den Projekten X100 und Arkamiko kam es zu schwerwiegenden Sicherheitsvorfällen durch Governance-Schwachstellen. Angreifer erlangten Kontrolle über Transaktionen und verursachten Millionenverluste.
Beim Token-Projekt X100 erlangte ein Angreifer am 24. Oktober zwei Senats-Sitze, genehmigte eine Treasury-Transaktion und zahlte einen Flash Loan in einer einzigen Blockchain-Transaktion zurück. Zwei Helferverträge froren jeweils 19.000,000001 X für ein Jahr ein, registrierten sich, traten in das Ranking ein und gaben zwei unterstützende Stimmen für Vorschlag 7 ab.
Der genehmigte Swap leitete 400.000 Treasury-X in einen vom Angreifer erstellten Pool um, während der Freezer lediglich 35.675313 USDT erhielt.
Der Angreifer lieh rund 1,94 Millionen USDT und zahlte das Hauptkapital sowie die Prämie zurück. Nach der Rückzahlung erreichten etwa 4,75 Millionen USDT den ersten finalen Empfänger, während ChainBounty-Mitwirkende Philippark 4,848 Millionen USDT bezifferte, die an drei ausgewählte Empfänger gezahlt wurden.
Beim Kreditprotokoll Arkadiko endete Vorschlag 12 am 22. Oktober zwei Tage früher als geplant und gab einem bösartigen Vertrag die Autorität über Tresorvermögen. Eine Wallet hatte kurz zuvor rund 4,573 Millionen DIKO im Wert von geschätzten 51.000 US-Dollar gekauft.
Bitquery schätzt den Verlust von Arkadiko auf etwa 1,09 Millionen US-Dollar durch unautorisierte Abhebungen von sBTC, stSTX und USDA-Minting.
Arkadiko gab am 22. Oktober an, den bösartigen Vertrag deaktiviert und die Governance sowie Tresor-Einlösungen pausiert zu haben. Am 27. Oktober wurde Vorschlag 14 ausgeführt, wodurch der Tresor-Einsatz auf den regulären v1-3-Vertrag zurückgesetzt wurde, was jedoch nicht automatisch Sicherheiten zurückholt.
