Gondiは23万ドルの脆弱性発覚後に賠償を開始し、盗まれたNFTを回収して元の所有者に返還しました

NFT貸付協議Gondiは3月9日に、スマートコントラクトの脆弱性による損失を被ったユーザーへの補償措置を積極的に取っていると発表しました。セキュリティ企業Blockaidの推定によると、攻撃者は脆弱性を利用し、被害者から約78個のNFTを盗み出し、損失額は約23万ドルと見積もられています。Gondiは、新版の「Sell & Repay」コントラクトにおけるロジックの欠陥を除き、プラットフォームの他のすべての機能は復旧済みであると述べています。

脆弱性の仕組み解析：Sell & Repayコントラクトの重要なロジック欠陥

「Sell & Repay」はGondi NFT貸付協議の中核機能の一つであり、借り手が担保として預けたNFTを一括取引で売却し、自動的にローンを返済できる仕組みです。2月20日に導入された最新のコントラクトバージョンでは、「購入バンドラー」（Purchase Bundler）機能に誤ったロジックが組み込まれ、コントラクト呼び出し者がNFTの正当な所有者または承認された借り手であるかどうかを正しく検証できていませんでした。これにより、攻撃者は所有権の検証を回避し、NFTを所持していなくても転送操作を実行できる状態となりました。

NFTコレクターのtinochは、潜在的な被害者の損失額は約55ETH、当時の市場価格で約108,000ドルに達すると推定しています。Gondiは、今回の脆弱性の影響範囲は限定的であり、アクティブな貸付状態にあるNFTは「いかなる時点でも影響を受けていない」と強調しています。

盗まれたNFTリスト：著名シリーズも被害に

Etherscanのデータによると、78個のNFTが攻撃者のアドレスに転送されており、以下の著名シリーズが含まれています：

• Art Blocksトークン：44個、今回の盗難NFTの最大割合
• Doodles：10個
• Beeple「Spring Collection」：2個
• その他：価値のあるNFTブランドや代替不可能な1/1アート作品など複数

事件後、Gondiは迅速に「Sell & Repay」機能を停止し、Blockaidや独立した監査機関に協力を依頼して、協議全体のセキュリティ監査を実施しています。Gondiは、ローン返済や再交渉、再融資、新規ローンの発行、NFTの出品・取引など他のすべてのプラットフォーム活動は安全に復旧できると声明しています。

Gondiの補償措置：三つの柱による賠償戦略

補償作業は三つの側面から同時に進行しています：

• 被害者への連絡：Gondiは、脆弱性のあるコントラクトと取引したすべてのユーザーに積極的に連絡を取り、損失範囲を確認し、直接コミュニケーションの窓口を開設しています。

• 盗まれたNFTの追跡と返還：Gondiは、一部の盗難NFTが無意識の購入者に渡ったことを追跡し、これらの購入者にNFTを元の所有者に返還するよう説得に成功しています。

• 類似品の買い戻し：直接回収できない盗難NFTについては、Gondiは協議の費用を用いて1/1シリーズの「類似物」を購入し、被害者に補償しています。Gondiは、「完全に同じ物ではないが、公平で意味のある解決策だと信じており、各所有者と直接調整を進めている」と述べています。唯一無二の1/1 NFTを失った被害者については、「積極的に協議を行い、個別の補償案を模索している」としています。

よくある質問

Gondiとは何のプラットフォームで、今回の脆弱性はどうやって起きたのか？

Gondiは分散型の非管理型NFT流動性マーケットおよび貸付協議であり、ユーザーはNFTを担保に資産を借りたり、利息を得たり、再融資を行ったりできます。今回の脆弱性は、2月20日に導入された「Sell & Repay」コントラクトの新バージョンにおけるロジックの誤りに起因し、購入バンドラー機能が呼び出し者の正当性を正しく検証できなかったため、攻撃者がNFTを所持せずに転送を引き起こせる状態となったものです。

今回のGondiの脆弱性で盗まれたNFTは何か？

約78個のNFTが約40件の取引を通じて攻撃者のアドレスに転送され、その内訳は44個のArt Blocksトークン、10個のDoodles、2個のBeeple「Spring Collection」、その他複数の著名NFTブランドであり、一部は代替不可能な1/1アート作品も含まれ、総損失額は約23万ドルです。

現在Gondiプラットフォームは安全に復旧しているのか？

Gondiは、Blockaidや独立した監査機関による協議の審査を完了した後、「Sell & Repay」機能を除き、すべての他のプラットフォーム活動は安全に復旧可能としています。これには、ローンの返済、再交渉、再融資、新規ローンの発行、NFTの売買・取引が含まれます。