Gondi после уязвимости на 23 миллиона долларов запустил компенсацию, восстановил украденные NFT и вернул их владельцам

NFT заимствование и кредитование Gondi 9 марта объявила, что активно предпринимает меры по компенсации пользователям, пострадавшим от уязвимости в смарт-контракте. Согласно оценкам компании по безопасности Blockaid, злоумышленники использовали уязвимость для кражи около 78 NFT у нескольких жертв, что оценивается примерно в 230 000 долларов США. Gondi заявила, что за исключением логической ошибки в новой версии контракта «Sell & Repay», все остальные функции платформы восстановлены.

Анализ механизма уязвимости: ключевая логическая ошибка в контракте Sell & Repay

«Sell & Repay» — одна из основных функций протокола кредитования NFT Gondi, позволяющая заемщикам продавать заложенные NFT в рамках одной транзакции и автоматически погашать кредит. Последняя версия контракта, развернутая 20 февраля, содержит ошибочную логику в функции «Purchase Bundler», которая неправильно проверяет, является ли вызывающий контракт владельцем или уполномоченным заемщиком NFT, что позволило злоумышленнику обойти проверку собственности и инициировать перевод без владения NFT.

NFT коллекционер tinoch оценил, что потенциальные потери одного из пострадавших составили около 55 ETH, что по рыночной цене на момент оценки примерно равно 108 000 долларов США. Gondi подчеркнула, что масштаб уязвимости ограничен, и NFT, находящиеся в активной фазе займа, «никогда не были затронуты».

Список украденных NFT: известные серии пострадали

По данным Etherscan, украдено 78 NFT, охватывающих несколько известных серий:

• Art Blocks: 44 — самая крупная часть украденных NFT
• Doodles: 10
• Beeple «Spring Collection»: 2
• Другие: несколько ценных брендов NFT и уникальных 1/1 произведений искусства

После инцидента Gondi быстро приостановила функцию «Sell & Repay» и пригласила Blockaid и независимых аудиторов провести всестороннюю проверку безопасности протокола. Gondi заявила, что все остальные операции платформы — включая погашение кредитов, переобсуждение условий, рефинансирование, выдачу новых кредитов, выставление и торговлю NFT — могут быть безопасно возобновлены.

Меры компенсации Gondi: комплексная стратегия возмещения

Работа по компенсации ведется в трех направлениях:

• Контакт с пострадавшими пользователями: Gondi самостоятельно связалась со всеми пользователями, взаимодействовавшими с уязвимым контрактом, уточнила объем потерь и открыла прямую линию коммуникации.
• Возврат украденных NFT: Gondi отслеживает случаи, когда украденные NFT были перепроданы незнающими покупателями, и успешно убедила их вернуть NFT владельцам.
• Покупка аналогичных предметов за средства протокола: для NFT, которые невозможно вернуть напрямую, Gondi использует средства протокола для покупки «аналогичных» предметов из серии 1/1, чтобы компенсировать пострадавших. Gondi заявила: «Хотя это не полностью идентичные предметы, мы считаем, что это справедливое и значимое решение, и ведем прямые переговоры с каждым владельцем». Для пострадавших, потерявших уникальные 1/1 NFT, Gondi сообщает, что ведутся «активные консультации» для поиска индивидуальных решений.

Часто задаваемые вопросы

Что такое Gondi и как произошла эта уязвимость?

Gondi — децентрализованный, некастодиальный рынок ликвидности NFT и протокол кредитования, позволяющий пользователям залогом NFT брать кредиты, зарабатывать проценты или рефинансировать. Уязвимость возникла из-за логической ошибки в новой версии контракта «Sell & Repay», развернутой 20 февраля, которая неправильно проверяла легальность вызова функции, что позволило злоумышленнику инициировать перевод без владения NFT.

Какие NFT были украдены в результате уязвимости Gondi?

Всего было переведено 78 NFT через около 40 транзакций на адрес злоумышленника, включая 44 Art Blocks, 10 Doodles, 2 Beeple «Spring Collection» и другие известные бренды NFT, часть из которых — уникальные 1/1 произведения. Общие потери оцениваются примерно в 230 000 долларов США.

Безопасна ли платформа Gondi для дальнейшего использования?

Gondi заявила, что после завершения проверки протокола Blockaid и независимыми аудиторами, за исключением отключенной функции «Sell & Repay», все остальные операции платформы — включая погашение кредитов, переобсуждение условий, рефинансирование, выдачу новых кредитов и торговлю NFT — могут быть безопасно возобновлены.