GONDI Hack

GONDIは、NFTを担保に暗号資産を借りたり、貸し出して利息を得たりできるNFTレンディングプロトコルです。2026年2月20日、GONDIはSell & Repay機能の新しいバージョンをリリースしました。これは、借り手が担保にしたNFTを売却し、1ステップでローンを返済できる機能です。このアップデートでは、機能を支えるPurchase Bundlerコントラクトに欠陥が含まれていました。2026年3月9日、攻撃者はこの欠陥を利用して、コントラクトを承認したウォレットからNFTを移動させました。GONDIによると、有効なローンの担保として保持されていたNFTは危険にさらされていませんでした。

攻撃者はArt Blocks、Doodles、Beepleの作品を含む78点のNFTを奪い、第三者の推定によるとその価値は約23万ドルでした。GONDIはSell & Repay機能を無効化してユーザーに承認の取り消しを求めましたが、購入、売却、出品、入札はそのまま利用できました。チームは、直接の返済、可能な場合は盗まれたNFTの返還、そしてプロトコル手数料を使った同等のNFTの購入によって、被害を受けたユーザーの損失を全額補償すると述べました。GONDIとコミュニティのメンバーは、事情を知らない買い手に転売されていた盗難NFTの一部を突き止めて、返還もしました。

攻撃直後の報道によると、GONDIはまだ修正をデプロイしておらず、代わりにSell & Repay機能を無効にしたままにしていました。Blockaidと独立した監査人がプラットフォームを審査し、安全に利用できると判断しました。GONDIは、EthereumとHyperEVM上の6つのPurchase Bundlerコントラクトが影響を受けたとして公表し、そのいずれかを承認したすべての人に承認を取り消すよう求めました。承認を取り消せばウォレットに残っているNFTは守られますが、すでに奪われたNFTが戻ってくるわけではありません。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。