X100 与 Arkadiko 治理失守：锁仓与长周期为何形同虚设？

据 Woofun AI 消息，近期生态接连爆发的 与 治理攻击事件，深刻暴露了当前去中心化治理架构中普遍存在的设计缺陷。尽管两者在技术实现上差异显著，但核心漏洞均指向同一逻辑盲区：资金锁定、投票资格获取与提案即时执行之间缺乏有效的缓冲隔离，导致攻击者能够利用规则缝隙，在极短时间内完成从权限夺取到资产转移的闭环操作。

X100 的案例展示了即时权限与闪电贷结合的极端危害。在 10 月 24 日的攻击行动中，攻击者通过两个辅助合约，分别质押了 19000.000001 枚 代币，并选择了一年锁仓的选项。

这一操作使得它们迅速进入治理委员会排名，并成功投出关键两票，促使 7 号提案得以执行。值得注意的是，X100 的治理机制并未设置质押最小持有时长要求，这意味着新质押的代币在锁定状态下即可立即获得治理权限。攻击者掌控了治理委员会 3 个席位中的 2 个，从而拥有了多数席位的控制权。在提案处于开放阶段时，这种多数席位直接赋予了即时执行权限。攻击者利用这一权限，将国库中的 40 万枚 X 转入其新建的资金池，而 合约仅收到微不足道的 35.675313 枚 。随后，攻击者从池中取出代币并在二级市场抛售，所得资金用于偿还闪电贷本金及利息。最终流入收款地址的金额约为 475 万 USDT，这一数字尚未包含未售出 X 代币的潜在价值。

尽管 Freezer 合约设有保护用户质押本金余额的约束，但它无法保护外部资金池流动性，也无法支撑二级市场价格，导致攻击者在质押代币全程保持锁定的情况下，依然完成了盗取与还款的完整闭环。

Arkadiko 的攻击则揭示了长投票周期在末期突击面前的无力。其 12 号提案于 UTC 时间 10 月 17 日 20:35 提交，并在 UTC 时间 10 月 22 日 16:04 执行。该治理合约设定的投票窗口为 720 个比特币区块，即通常所说的 5 天。规则规定，提案人需持有符合条件的 供应量的 0.25%，且投票参与率达到 5% 方可满足法定人数，赞成票多于反对票即可通过。

然而，合约并未要求投票人在提案提交前持有代币。攻击者钱包在 UTC 10 月 22 日 15:03 买入代币，并在 15:06 完成投票，投入约 457.3 万枚 DIKO。

Woofun AI 链上数据显示， 的溯源分析指出，攻击者投票钱包收到的 STX 中，高达 77% 来自此前 的被盗资金（StackSwap 于 10 月 20 日遭遇治理攻击）。与 X100 的单交易闪电贷模式不同，Arkadiko 的攻击者通过多笔交易、分多天完成资金准备，但其核心逻辑一致：在投票窗口开放期间，后买入的代币立刻获得投票权。

投票一旦关闭，提案直接生效， 提案通过与合约授权之间没有冷却期。被启用的金库操作合约存在严重漏洞，提款与铸造 USDA 函数缺少调用者权限校验。12 号提案将该恶意合约登记为金库操作合约并授予铸造权限。提案生效数分钟后，即 UTC 16:06，攻击者转出 ；16:09 转出 。

Bitquery 估算 Arkadiko 本次损失约 109 万美元，其中包括 78 万美元 stSTX、13.5 万美元 sBTC，以及攻击者铸造无抵押 USDT 卖出所得的 17.3 万美元。Arkadiko 在 10 月 22 日回应称已禁用恶意合约并暂停相关功能，受影响的 stSTX 和 sBTC 金库因抵押品不可用而无法修改。直至 10 月 27 日，提案 14 "AIP 32.2 – 恢复金库操作"才执行，将金库操作条目恢复为合法合约。