X100 與 Arkadiko 治理攻擊復盤：鎖倉和長投票週期為何失效？

By: foresightnews.pro|2026/10/30 08:01:31

加密項目的治理需要緩衝機制。

撰文：Liam Akiba Wright

編譯：Chopper，Foresight News

最近的兩起治理攻擊揭示了相同的設計缺陷。攻擊者奪取了以太坊生態項目 X100 兩個治理席位，在 10 月 24 日通過一筆鏈上交易批准財庫轉帳，同時完成閃電貸的償還。

借貸協議 Arkadiko 允許用戶抵押金庫資產借款，該項目一場為期 5 天的治理投票提前收官，攻擊者臨近投票結束才購入代幣參與投票。惡意提案通過後沒有冷卻期，合約隨即接管金庫資產。

這兩起事件暴露出同一個問題：資金鎖定、獲得投票資格、提案執行，三者之間存在設計缺口。X100 代幣設置一年鎖倉，這種長期鎖定增加了作惡成本，但沒有延遲投票權的生效時間；Arkadiko 投票週期很長，給了市場觀察時間，但不阻止臨近結尾的資金突擊入場。兩種設計都沒有在提案獲批後留出緩衝窗口期，以供社區應對風險。

X100 質押代幣處於鎖定狀態，卻立刻獲得治理權限

X100 的 Freezer 合約托管凍結的 X 代幣，質押份額決定治理委員會候選人排名，鎖倉週期分為 1 年、3 年、5 年，但合約沒有質押最小持有時長要求。在 10 月 24 日的攻擊中，兩個輔助合約各自質押 19000.000001 枚 X，選擇一年鎖倉。它們註冊身份、進入治理委員會排名，投出關鍵兩票，7 號提案得以執行。整套操作在同一筆交易完成。

這套治理機制沒有強制等待期：提案處於開放階段時，治理委員會多數席位即可直接授權執行。攻擊者掌控 3 個席位裡的 2 個，已經擁有即時執行權限。提案通過後，國庫中的 40 萬枚 X 被轉入攻擊者新建的資金池，Freezer 合約僅收到 35.675313 枚 USDT。攻擊者隨後從池子取出代幣，賣出 X 換取資金，用來償還閃電貸。

質押代幣全程保持鎖定，攻擊者不需要解鎖質押份額，只用國庫盜出資產、代幣拋售所得資金完成還款。攻擊交易完成還款本金 + 利息後，約 475 萬 USDT 流入最終收款地址。ChainBounty 貢獻者 Philippark 追蹤了這筆資金，該金額還未計入未售出的 X 代幣及其波動價值，僅統計了可追蹤的轉帳。

Freezer 合約本身有一條約束：交易執行完成後，合約內的 X 餘額必須覆蓋所有用戶質押鎖定的本金。這條規則只保護用戶質押本金，無法保護外部資金池流動性，也無法托住代幣二級市場價格。

Arkadiko：投票末期入場資金可以參與表決

Arkadiko 的 12 號提案於 UTC 時間 10 月 17 日 20:35 提交，UTC 時間 10 月 22 日 16:04 執行。該治理合約設置投票窗口為 720 個比特幣區塊，也就是通常所說的 5 天。

規則要求提案人需持有符合條件的 DIKO（Arkadiko 的治理代幣）供應量的 0.25%，投票參與率達到 5% 才算滿足法定人數，贊成票高於反對票即可通過。流通量計算會剔除初始分配合約內的 DIKO。合約規則不要求投票人在提案提交前就持有代幣。攻擊者錢包在 UTC 10 月 22 日 15:03 買入代幣，並在 15:06 完成投票，投入約 457.3 萬枚 DIKO。

Bitquery 的鏈上溯源顯示，攻擊者投票錢包收到的 STX 中，77% 來自此前 StackSwap 的被盜資金。（注：StackSwap 是 Stacks 生態的 DEX，在 10 月 20 日遭遇治理攻擊。）

攻擊者通過多筆交易、分多天完成資金準備，和 X100 那種單交易閃電貸模式有明顯區別。這次攻擊的關鍵在於：投票通道開放期間，後買入的代幣可以立刻獲得投票權。投票一旦關閉，提案直接生效，投票通過和合約授權之間沒有冷卻等待期。

被啟用的 Arkadiko 金庫操作合約存在漏洞：提款、鑄造 USDA 函數缺少調用者權限校驗。12 號提案將該惡意合約登記為金庫操作合約，授予鑄造權限。提案生效數分鐘後，也就是 UTC 16:06，攻擊者轉出 sBTC；16:09 轉出 stSTX。Bitquery 估算 Arkadiko 本次損失約 109 萬美元：其中 78 萬美元 stSTX、13.5 萬美元 sBTC，還有攻擊者鑄造無抵押 USDT 賣出所得 17.3 萬美元。

Arkadiko 在 10 月 22 日的回應帖中表示，已禁用惡意合約，並暫停了治理、金庫贖回和清算。該公司稱，受影響的 stSTX 和 sBTC 金庫無法修改，因為其抵押品不可用。10 月 27 日，提案 14「AIP 32.2 -- 恢復金庫操作」執行，將金庫操作條目設置為 Arkadiko 的合法合約。

啟示：治理需要緩衝機制

設置投票快照、要求代幣必須提前持有一段時間，可以阻止新買入的代幣立刻獲得投票權；而執行時間鎖，是把「提案通過」和「資產操作」拆成兩個獨立環節。如果所有提案操作都強制經過時間鎖，X100 這種 "一筆交易借錢、攻擊、還款閉環" 的攻擊模式就無法成立。當然，手握長期資金的攻擊者依然可以等到鎖定期結束再動手，所以還需要單獨限制提案合約的可操作權限。

OpenZeppelin 文檔中將歷史投票權快照和提案執行時間鎖定義為兩套獨立治理安全機制。放到這兩起案例裡，核心問題就是：新買入的資金何時獲得投票權、投票通過後合約能執行哪些操作、資產被調動前留給社區的反應窗口有多久。

X100 的 X 代幣鎖倉期內無法解鎖，就算加上執行時間鎖，也不會改變質押不能提前取出的限制。

Arkadiko 原版 v1-3 金庫合約自帶一套退出機制：正常用戶還清債務、支付穩定費之後，在功能開啟時可以取回抵押品。這套流程的前提是資金充足、抵押資產還在。

5 天的投票窗口看似給了市場預警，但決定性投票在臨近截止時才完成，投票結束惡意合約立刻生效。如果簡單認為投票週期等於事後止損窗口，就會掩蓋風險真正發生的時間點。