Gondi após a vulnerabilidade de 23 milhões de dólares, inicia compensações, recupera NFTs roubados e devolve aos proprietários originais

O protocolo de empréstimo NFT Gondi anunciou a 9 de março que está a tomar medidas ativas para compensar os utilizadores que sofreram perdas devido a uma vulnerabilidade no contrato inteligente. De acordo com a empresa de segurança Blockaid, os atacantes aproveitaram a vulnerabilidade para roubar cerca de 78 NFTs de múltiplas vítimas, com perdas estimadas em aproximadamente 230.000 dólares. A Gondi afirmou que, exceto pelo defeito lógico no novo contrato “Sell & Repay”, todas as outras funcionalidades da plataforma já foram restabelecidas.

Análise do mecanismo da vulnerabilidade: Defeito lógico crítico no contrato Sell & Repay

“O Sell & Repay” é uma das funções centrais do protocolo de empréstimo NFT Gondi, permitindo que os mutuários vendam NFTs que estão a ser utilizados como garantia numa única transação agrupada, e que o empréstimo seja automaticamente liquidado. A versão mais recente do contrato, implantada a 20 de fevereiro, introduziu uma lógica incorreta na funcionalidade “Purchase Bundler”, que não verificou corretamente se o chamador do contrato era o legítimo proprietário ou autorizado do NFT, permitindo que os atacantes contornassem a verificação de propriedade e desencadeassem transferências sem possuir o NFT.

O colecionador de NFTs tinoch estima que uma vítima potencial tenha sofrido perdas de cerca de 55 ETH, que na altura do mercado equivaleriam a aproximadamente 108.000 dólares. A Gondi destacou que o impacto da vulnerabilidade foi limitado, e que os NFTs que estavam em estado de empréstimo ativo “não foram afetados em momento algum”.

Lista de NFTs roubados: séries conhecidas afetadas

De acordo com dados do Etherscan, os 78 NFTs transferidos abrangem várias séries de renome:

• Tokens Art Blocks: 44, representando a maior proporção dos NFTs roubados
• Doodles: 10
• Beeple “Spring Collection”: 2
• Outros: várias marcas valiosas de NFTs e obras de arte únicas 1/1, difíceis de substituir

Após o incidente, a Gondi suspendeu rapidamente a funcionalidade “Sell & Repay” e convidou a Blockaid e uma entidade de auditoria independente a realizar uma revisão completa de segurança do protocolo. A Gondi declarou que todas as outras atividades na plataforma — incluindo o pagamento de empréstimos, renegociações, reestruturações, emissão de novos empréstimos, listagem e troca de NFTs — podem ser retomadas com segurança.

Ações de compensação da Gondi: uma estratégia tripartida de reparação

A compensação está a ser conduzida em três frentes simultaneamente:

• Contato com os utilizadores afetados: A Gondi entrou em contacto proativamente com todos os utilizadores que interagiram com o contrato vulnerável, confirmando o alcance das perdas e abrindo canais de comunicação direta.
• Recuperação e devolução dos NFTs roubados: A Gondi rastreou alguns NFTs roubados que foram transferidos para compradores desavisados, conseguindo persuadi-los a devolver os NFTs aos seus legítimos proprietários.
• Recompra de itens similares usando taxas do protocolo: Para os NFTs roubados que não puderem ser recuperados diretamente, a Gondi começou a usar as taxas do protocolo para comprar “itens similares” de séries 1/1 ou de quantidade limitada, como forma de compensar os utilizadores afetados. A Gondi afirmou: “Embora não sejam exatamente os mesmos itens, acreditamos que esta é uma solução justa e significativa, e estamos a coordenar diretamente com cada proprietário.” Para os vítimas que perderam NFTs únicos 1/1, a Gondi disse estar em “negociações ativas” com as partes relevantes para oferecer uma compensação personalizada.

Perguntas frequentes

O que é a plataforma Gondi e como ocorreu a vulnerabilidade?
A Gondi é um mercado descentralizado de liquidez e protocolo de empréstimo de NFTs, que permite aos utilizadores usar NFTs como garantia de empréstimos, emprestar ativos para ganhar juros ou reestruturar financiamentos. A vulnerabilidade resultou de um erro lógico na nova versão do contrato “Sell & Repay”, implantada a 20 de fevereiro, cujo funcionalidade de “Purchase Bundler” não verificou corretamente a identidade do chamador, permitindo que atacantes desencadeassem transferências sem possuir o NFT.

Quais NFTs foram roubados nesta vulnerabilidade da Gondi?
Foram transferidos 78 NFTs através de cerca de 40 transações, incluindo 44 tokens Art Blocks, 10 Doodles, 2 NFTs da “Spring Collection” de Beeple, além de várias outras marcas de renome, incluindo obras de arte únicas 1/1. As perdas totais estimadas são de aproximadamente 230.000 dólares.

A plataforma Gondi está atualmente segura e operacional?
A Gondi afirmou que, após a conclusão da auditoria por parte da Blockaid e de uma entidade de auditoria independente, todas as atividades na plataforma — exceto a funcionalidade “Sell & Repay”, que permanece desativada — podem ser retomadas com segurança, incluindo o pagamento de empréstimos, renegociações, emissão de novos empréstimos e a compra e venda de NFTs.