GONDI Hack

GONDI 是一个 NFT 借贷协议，用户可以用自己的 NFT 作抵押借入加密资产，也可以出借资产赚取利息。2026年2月20日，GONDI 发布了新版 Sell & Repay 功能，借款人可以借此一步完成出售已质押的 NFT 并偿还贷款。这次更新让该功能背后的 Purchase Bundler 合约出现了一个缺陷。2026年3月9日，一名攻击者利用这个缺陷，从授权过该合约的钱包中转走了 NFT。据 GONDI 称，作为进行中贷款抵押品的 NFT 并未面临风险。

攻击者拿走了78个 NFT，其中包括 Art Blocks、Doodles 和 Beeple 的作品，据第三方估计价值约23万美元。GONDI 停用了 Sell & Repay 功能，并要求用户撤销授权，而购买、出售、挂单和出价等功能仍正常运行。团队表示，将通过直接赔付、尽可能归还被盗 NFT 以及用协议手续费购买同类 NFT 等方式，全额赔偿受影响的用户。GONDI 和社区成员还追回并归还了一些已被转卖给不知情买家的被盗 NFT。

根据攻击发生后不久的报道，GONDI 当时尚未部署修复，而是让 Sell & Repay 功能保持停用状态。Blockaid 和一名独立审计人员对该平台进行了审查，认为它可以安全使用。GONDI 列出了 Ethereum 和 HyperEVM 上受影响的六个 Purchase Bundler 合约，并要求所有授权过其中任何一个合约的人撤销这些授权。撤销授权可以保护您钱包中剩余的 NFT，但无法追回已被拿走的 NFT。

受影响的用户只要没有撤销他们的授权，就仍处于风险之中。因此我们建议您使用下方的 Revoke.cash 漏洞检查器，以确保您的安全。