A estrutura de governação de três membros da X 100 Global, designada internamente como “Senado”, foi comprometida, deixando o projeto perante perdas estimadas em vários milhões de dólares. O incidente voltou a colocar sob escrutínio a segurança das estruturas multis assinatura, a concentração de direitos de acesso e a proteção dos fundos dos projetos no mercado de criptoativos.
As informações disponíveis indicam que o alvo foi um órgão de governação com três membros, e não uma conta de utilizador comum. Como essa estrutura tratava de decisões do projeto ou de funções de gestão de ativos, a tomada de controlo dos seus lugares poderá ter afetado fundos e outras permissões operacionais críticas. O montante exato perdido, os ativos transferidos, a identidade dos atacantes e o destino dos fundos ainda não foram divulgados.
Estrutura de governação com três membros no centro do caso
A X 100 Global utilizava uma estrutura de governação com três lugares, inspirada num “Senado”. Em modelos deste tipo, várias pessoas têm normalmente de aprovar ações relevantes, reduzindo o impacto de um erro ou comprometimento de uma única conta. No entanto, se a maioria ou a totalidade dos lugares, ou as respetivas permissões de assinatura, forem controladas em simultâneo, os mecanismos de verificação de uma estrutura multis assinatura podem deixar de funcionar.
A questão central é saber se o controlo da camada de governação do projeto foi tomado por completo e se os atacantes obtiveram autoridade para movimentar ativos. Uma alteração numa página de governação, numa conta ou nos direitos de voto não prova, por si só, que todos os fundos do projeto tenham sido transferidos. O valor final das perdas terá de ser apurado através dos registos de transações na blockchain, das informações divulgadas pelo projeto e dos saldos das carteiras afetadas.
Perdas de vários milhões de dólares continuam por confirmar
As descrições públicas do incidente apontam para perdas de “vários milhões de dólares”, mas ainda não foi apresentado um valor verificado de forma independente. Num projeto de criptoativos, a avaliação pode incluir mais do que os tokens transferidos diretamente a partir das carteiras. Também poderá abranger ativos em pools de liquidez, saldos de tesouraria, posições em staking e responsabilidades adicionais criadas por alterações nas permissões de governação.
Os participantes do mercado deverão concentrar-se em três grupos de dados: a evolução dos saldos das carteiras antes e depois do comprometimento; a eventual transferência de ativos para plataformas de negociação ou endereços ainda não identificados; e a capacidade do projeto para processar levantamentos e executar normalmente operações de contratos. Enquanto estes detalhes não forem divulgados, será difícil determinar se as perdas já cessaram ou se continuam a existir condições para novas transferências de ativos.
Permissões críticas e fundos dos utilizadores sob escrutínio
A X 100 Global terá de esclarecer o âmbito dos três lugares de governação, o momento em que ocorreu a atividade anómala, os contratos e carteiras afetados e se suspendeu as permissões relevantes. Se os membros pudessem alterar endereços da tesouraria, atualizar contratos ou ajustar parâmetros dos fundos, o projeto também terá de indicar se congelou ou revogou o acesso e se transferiu ativos para novas carteiras.
Para os utilizadores, as principais questões são a possibilidade de levantar fundos, os ativos afetados e o estado da contabilidade do projeto, incluindo eventuais mecanismos de compensação. As informações sobre perdas individuais, situação dos levantamentos e plano de recuperação continuam incompletas. À medida que mais endereços de carteiras e registos de governação forem divulgados, deverão ficar mais claros o alcance do incidente e a distribuição das responsabilidades.