GONDI Hack

GONDI — протокол кредитования под залог NFT, где можно брать займы в криптовалюте, используя свои NFT в качестве залога, или давать в долг и получать проценты. 20 февраля 2026 года GONDI выпустил новую версию функции Sell & Repay, которая позволяет заемщикам продать заложенный NFT и погасить заем за один шаг. В это обновление попала уязвимость в контракте Purchase Bundler, на котором работает эта функция. 9 марта 2026 года злоумышленник воспользовался этой уязвимостью, чтобы вывести NFT из кошельков, выдавших доступ контракту. По данным GONDI, NFT, находившиеся в залоге по активным займам, не были под угрозой.

Злоумышленник забрал 78 NFT, включая работы Art Blocks, Doodles и Beeple, стоимостью примерно 230 тыс. долларов по оценкам третьих сторон. GONDI отключил функцию Sell & Repay и попросил пользователей отозвать доступы, при этом покупка, продажа, выставление на продажу и ставки продолжали работать. Команда заявила, что полностью возместит убытки пострадавшим пользователям: выплатит им компенсацию напрямую, по возможности вернет украденные NFT и на комиссии протокола купит сопоставимые NFT. GONDI и участники сообщества также разыскали и вернули часть украденных NFT, которые были перепроданы ничего не подозревающим покупателям.

Согласно сообщениям вскоре после атаки, GONDI еще не выпустил исправление и вместо этого держал функцию Sell & Repay отключенной. Blockaid и независимый аудитор проверили платформу и признали ее безопасной для использования. GONDI указал шесть затронутых контрактов Purchase Bundler в сетях Ethereum и HyperEVM и попросил всех, кто выдавал доступ любому из них, отозвать эти доступы. Отзыв защищает NFT, которые еще остались в вашем кошельке, но не возвращает уже украденные NFT.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.