GONDI Hack

GONDI es un protocolo de préstamos con NFT en el que se pueden pedir prestadas criptomonedas usando NFT como garantía, o prestar para ganar intereses. El 20 de febrero de 2026, GONDI lanzó una nueva versión de su función Sell & Repay, que permite a los prestatarios vender un NFT dado en garantía y devolver su préstamo en un solo paso. Esta actualización incluía un fallo en el contrato Purchase Bundler en el que se basa la función. El 9 de marzo de 2026, un atacante aprovechó el fallo para sacar NFT de las carteras que habían aprobado el contrato. Según GONDI, los NFT que servían de garantía en préstamos activos no estuvieron en riesgo.

El atacante se llevó 78 NFT, entre ellos piezas de Art Blocks, Doodles y Beeple, por valor de unos 230.000 dólares según estimaciones de terceros. GONDI desactivó la función Sell & Repay y pidió a los usuarios que revocaran sus autorizaciones, mientras que las compras, las ventas, la publicación de NFT en venta y las pujas siguieron funcionando. El equipo dijo que compensaría por completo a los usuarios afectados pagándoles directamente, devolviendo los NFT robados cuando fuera posible y usando las comisiones del protocolo para comprar NFT comparables. GONDI y miembros de la comunidad también localizaron y devolvieron algunos NFT robados que se habían revendido a compradores que no sabían nada.

Según informaciones publicadas poco después del ataque, GONDI aún no había desplegado una corrección y, en su lugar, mantenía desactivada la función Sell & Repay. Blockaid y un auditor independiente revisaron la plataforma y concluyeron que era segura de usar. GONDI señaló como afectados seis contratos Purchase Bundler en Ethereum y HyperEVM, y pidió a todos los que hubieran aprobado alguno de ellos que revocaran esas autorizaciones. Revocar protege los NFT que aún tienes en tu cartera, pero no recupera los NFT que ya se robaron.

Los usuarios afectados seguirán en riesgo mientras no hayan revocado sus autorizaciones, por lo que se recomienda utilizar el Comprobador de Exploits de Revoke.cash que aparece a continuación para asegurarte de que estás a salvo.