X100 Dibajak: Flash Loan Beli 2 Kursi Senate, $4,85 Juta Raib dan Token Anjlok 96%

Proyek Ethereum X 100 Global kehilangan kendali atas governance-nya sendiri pada Sabtu, 24 Oktober 2026. Bukan karena bug rumit di smart contract, melainkan karena desain governance yang membiarkan siapa pun membeli kursi penguasa, lalu langsung memakai kursi itu untuk menguras treasury. Total kerugian yang dilacak firma keamanan Blockaid mencapai sekitar $4,85 juta dalam USDT, dan token X anjlok lebih dari 96% dalam sehari.

Kasus ini menarik karena serangannya tidak membobol kode, melainkan memakai aturan main proyek itu sendiri. Inilah bedah lengkapnya, dari flash loan pertama sampai dana hasil curian yang dipecah ke sejumlah dompet Ether.

Senate tiga kursi yang bisa dibeli siapa saja

X 100 Global mengatur treasury-nya lewat sebuah Senate yang hanya berisi tiga kursi. Kursi itu dipegang oleh staker terbesar di kontrak Freezer, tempat holder mengunci token X selama satu, tiga, atau lima tahun untuk mendapat reward. Kontrak yang sama juga menyimpan aset treasury dan menjalankan voting Senate.

Masalahnya ada tiga, dan ketiganya sudah diidentifikasi firma keamanan CryptoTimes dan Bitcoin.com dari analisis firma keamanan Exvul dan Blockaid:

• Tanpa snapshot voting. Hak suara dihitung dari saldo saat itu juga, bukan dari saldo pada blok tertentu di masa lalu.
• Tanpa masa pegang minimum. Token yang baru dibeli detik itu juga langsung bisa dipakai untuk mendaftar jadi senator.
• Tanpa jeda eksekusi (timelock). Proposal yang disetujui bisa dieksekusi seketika, tanpa waktu tunggu bagi holder lain untuk bereaksi.

Kombinasi ini berarti mayoritas Senate, dua dari tiga kursi, bisa dibeli dalam satu transaksi. Dan itulah yang terjadi.

Kronologi: satu transaksi, treasury terkuras

Transaksi exploit pertama terkonfirmasi pada 24 Oktober 2026 pukul 14:11:47 UTC. Berikut alurnya, berdasarkan penelusuran on-chain yang dilaporkan CryptoTimes dan Bitcoin.com:

Langkah	Yang terjadi	Angka
1	Peretas meminjam flash loan dari Aave	1.942.457,64 USDT
2	Dana pinjaman dipakai membeli token X di pool Uniswap V3	38.200 X
3	Token dibagi ke dua helper contract, masing-masing mengunci 19.000 X dan membayar biaya pendaftaran 100 X, lalu keduanya terdaftar sebagai senator	2 dari 3 kursi Senate
4	Proposal dibuat, divote dua senator baru, dan dieksekusi dalam transaksi yang sama. Deskripsi proposal di on-chain berbunyi “testnet flash governance proof”	2 suara setuju
5	Proposal memerintahkan Freezer menjual 400.000 X ke pool PancakeSwap V3 yang dibuat peretas sesaat sebelumnya. Treasury hanya menerima 35,68 USDT untuk token itu	400.000 X dijual, treasury dapat 35,68 USDT
6	Peretas menarik kembali likuiditas dari pool buatannya, lalu menjual 131.702,92 X ke pool Uniswap V3 X/USDT	399.986,8 X ditarik; penjualan sekitar 6,69 juta USDT
7	Setelah flash loan dilunasi, sisa dana dikirim ke alamat peretas	4.749.726,10 USDT; sisa sekitar 268.284 X

Sumber data tabel: analisis on-chain Exvul dan Blockaid, dikutip CryptoTimes dan Bitcoin.com, 24 Oktober 2026. Angka adalah hasil penelusuran pihak ketiga, bukan pernyataan resmi proyek.

Bukan satu serangan, tapi tiga

Serangan tidak berhenti di transaksi pertama. Menurut laporan Blockaid yang dikutip Bitcoin.com, ada tiga transaksi exploit yang totalnya mengekstrak sekitar $4,85 juta USDT plus sekitar 550.000 token X:

• Transaksi pertama: pengambilalihan Senate lewat flash loan dan penjualan 400.000 X dari treasury, seperti diuraikan di atas.
• Transaksi kedua: peretas kedua menghancurkan (burn) posisi likuiditas Uniswap V3 yang dipegang kontrak Freezer.
• Transaksi ketiga: sekitar 550.000 token X dikuras dari sebuah pool Uniswap, menyisakan kurang dari 200 USDT di pool tersebut, menurut laporan Phemex News yang mengutip data on-chain dan Blockaid.

Saat peringatan Blockaid diterbitkan, serangan itu disebut masih berlangsung. Bitcoin.com mencatat sekitar 12,2 juta token X masih tersisa di Freezer pada update terakhir Blockaid yang mereka kutip, dan hingga artikel mereka ditulis (24 Oktober pukul 15.00 waktu New York), proyek X 100 Global belum mengeluarkan pernyataan resmi apa pun lewat kanal media sosialnya.

Harga X anjlok lebih dari 96%

Dampak ke pasar berlangsung cepat. Mengutip data DEX CoinMarketCap, Bitcoin.com melaporkan token X jatuh dari kisaran $50-60 ke sekitar $1,75, penurunan lebih dari 96%. Likuiditas di sejumlah pool decentralized exchange menguap hingga tersisa hanya beberapa dolar di beberapa pengukuran, sehingga order jual dalam jumlah berarti menghadapi slippage ekstrem.

Ini pola yang sudah berulang di industri kripto: begitu likuiditas inti hilang, harga di atas kertas tidak lagi berarti apa-apa bagi holder yang ingin keluar. Kasus serupa pernah kami bedah pada kejatuhan Zipcoin, di mana harga ZC anjlok hingga 89% setelah tim mengumumkan shutdown.

Dana hasil curian dipecah ke dompet Ether

Jejak dana tidak berhenti di alamat peretas. The Defiant, mengutip penelusuran Chainalysis, melaporkan bahwa peretas pertama menukar sekitar 4,75 juta USDT hasil curian menjadi Ether. Dana itu kemudian tersebar ke empat dompet yang masing-masing berisi 400 ETH, sementara dompet distribusi menyimpan 423 ETH lagi.

Pola pemecahan dana seperti ini juga muncul di kasus-kasus besar lain yang kami telusuri, misalnya peretas Drift Protocol yang mengirim ETH ke Tornado Cash. Bedanya, pada kasus X100, jejak awalnya jauh lebih mudah diikuti karena seluruh aksi tercatat transparan di satu rangkaian transaksi governance.

Pelajaran untuk holder: governance adalah risiko keamanan

Kasus X100 menegaskan satu hal yang sering diabaikan pembeli token: governance yang buruk adalah celah keamanan, bukan sekadar urusan administrasi. Tiga pertanyaan ini layak diajukan sebelum memegang token dengan treasury besar:

1. Berapa kursi pengendali, dan semurah apa membelinya? Senate tiga kursi berarti mayoritas hanya butuh dua kursi. Semakin sedikit kursi, semakin murah serangan.
2. Apakah ada snapshot dan masa pegang minimum? Tanpa keduanya, hak suara bisa dibeli, dipakai, dan dibuang dalam satu transaksi yang sama.
3. Apakah ada timelock? Jeda eksekusi memberi waktu bagi holder dan tim keamanan untuk bereaksi sebelum proposal berbahaya dieksekusi.

Proyek yang tidak menjawab tiga pertanyaan ini dengan jelas sedang menaruh treasury-nya di etalase terbuka. Pola serupa, dari manipulasi likuiditas sampai tata kelola yang rapuh, juga kami bedah dalam investigasi wash trading Raydium, yang menunjukkan betapa angka di permukaan bisa menutupi permainan di balik layar.

Referensi Artikel

• CryptoTimes: X100 Hack, Attackers Hijack Governance, Drain $4.85M as X Token Crashes 96% (24 Oktober 2026)
• Bitcoin.com: X 100 Global Loses Millions as Three-Seat Senate Is Hijacked (24 Oktober 2026)
• The Defiant: X100 Exploit Nets 4.85 Million USDT After Governance Takeover (24 Oktober 2026)
• The Defiant: X100 Exploit Proceeds Split Into Four 400-ETH Wallets, penelusuran Chainalysis (24 Oktober 2026)
• KuCoin News: peringatan Blockaid atas serangan X100 yang masih berlangsung (24 Oktober 2026)
• Phemex News: Third X100 Exploit Drains Uniswap Pool to Under 200 USDT (24 Oktober 2026)