Le protocole de prêt NFT Gondi a annoncé le 9 mars qu’il prenait activement des mesures pour indemniser les utilisateurs ayant subi des pertes en raison d’une faille dans le contrat intelligent. Selon l’estimation de la société de sécurité Blockaid, les attaquants ont exploité cette vulnérabilité pour dérober environ 78 NFT auprès de plusieurs victimes, pour une perte estimée à environ 230 000 dollars. Gondi indique qu’à l’exception du nouveau contrat « Sell & Repay » présentant une faille logique, toutes les autres fonctionnalités de la plateforme ont été restaurées.
Analyse du mécanisme de la faille : la faille clé dans la logique du contrat Sell & Repay
« Sell & Repay » est l’une des fonctions centrales du protocole de prêt NFT Gondi, permettant à un emprunteur de vendre dans une seule transaction groupée un NFT mis en garantie, tout en remboursant automatiquement le prêt. La dernière version du contrat déployée le 20 février a introduit une erreur logique dans la fonction « Purchase Bundler », qui n’a pas correctement vérifié si l’appelant du contrat était le propriétaire légitime du NFT ou un prêteur autorisé, permettant ainsi aux attaquants de contourner la vérification de propriété et de déclencher une opération de transfert sans détenir le NFT.
Le collectionneur de NFT tinoch estime qu’un potentiel victime aurait subi une perte d’environ 55 ETH, soit environ 108 000 dollars au prix du marché au moment de l’observation. Gondi souligne que l’impact de cette faille est limité, et que les NFT en prêt actif n’ont jamais été affectés à aucun moment.
Liste des NFT volés : des séries renommées touchées
Selon les données d’Etherscan, les 78 NFT transférés comprennent plusieurs séries célèbres :
- Tokens Art Blocks : 44, représentant la majorité des NFT volés
- Doodles : 10
- Beeple « Spring Collection » : 2
- Autres : plusieurs marques de NFT de valeur et des œuvres d’art uniques 1/1 irremplaçables
Après l’incident, Gondi a rapidement suspendu la fonction « Sell & Repay » et a invité Blockaid ainsi qu’une organisation d’audit indépendante à effectuer une revue complète de la sécurité du protocole. Gondi déclare que toutes les autres activités de la plateforme — y compris le remboursement de prêts, la renégociation, le refinancement, l’émission de nouveaux prêts, la mise en vente et la transaction de NFT — peuvent être restaurées en toute sécurité.
Actions de compensation de Gondi : une stratégie de réparation en trois volets
Les efforts de compensation avancent simultanément sur trois niveaux :
-
Contacter les utilisateurs affectés : Gondi a pris l’initiative de contacter tous les utilisateurs ayant interagi avec le contrat vulnérable, pour confirmer l’étendue des pertes et ouvrir un canal de communication direct.
-
Récupérer et restituer les NFT volés : Gondi a identifié que certains NFT dérobés ont été transférés à des acheteurs inconscients, et a réussi à convaincre ces acheteurs de restituer les NFT à leurs propriétaires originaux.
-
Racheter des objets similaires avec les frais du protocole : pour les NFT volés qui ne peuvent pas être récupérés directement, Gondi utilise une partie des frais du protocole pour acheter des « objets similaires » issus de séries 1/1 ou X/1 afin de compenser les utilisateurs affectés. Gondi déclare : « Bien que ce ne soient pas exactement les mêmes objets, nous pensons que c’est une solution équitable et significative, et nous coordonnons directement avec chaque propriétaire. » Pour les victimes ayant perdu un NFT unique 1/1, Gondi indique qu’elle mène des « négociations actives » avec les parties concernées pour élaborer une solution de compensation personnalisée.
FAQ
Q : Qu’est-ce que Gondi et comment cette faille s’est-elle produite ?
Gondi est un marché décentralisé de liquidité NFT et un protocole de prêt non custodial, permettant aux utilisateurs de mettre en garantie leurs NFT pour emprunter, gagner des intérêts ou refinancer. La faille provient de la nouvelle version du contrat « Sell & Repay » déployée le 20 février, dont la logique comportait une erreur. La fonction « Purchase Bundler » ne vérifiait pas correctement l’identité de l’appelant, permettant à un attaquant de déclencher un transfert sans détenir le NFT.
Q : Quels NFT ont été volés lors de cette faille sur Gondi ?
Au total, 78 NFT ont été transférés vers l’adresse de l’attaquant via environ 40 transactions, comprenant 44 tokens Art Blocks, 10 Doodles, 2 Beeple « Spring Collection » et plusieurs autres marques renommées. Certains sont des œuvres d’art uniques 1/1 irremplaçables. La perte totale est estimée à environ 230 000 dollars.
Q : La plateforme Gondi est-elle actuellement sécurisée et opérationnelle ?
Gondi indique qu’après l’audit complet par Blockaid et une organisation indépendante, toutes les activités autres que la fonction « Sell & Repay » — qui reste désactivée — peuvent reprendre en toute sécurité, y compris le remboursement de prêts, la renégociation, le refinancement, l’émission de nouveaux prêts, ainsi que l’achat, la vente et l’échange de NFT.
Avertissement : Les informations contenues dans cette page peuvent provenir de tiers et ne représentent pas les points de vue ou les opinions de Gate. Le contenu de cette page est fourni à titre de référence uniquement et ne constitue pas un conseil financier, d'investissement ou juridique. Gate ne garantit pas l'exactitude ou l'exhaustivité des informations et n'est pas responsable des pertes résultant de l'utilisation de ces informations. Les investissements en actifs virtuels comportent des risques élevés et sont soumis à une forte volatilité des prix. Vous pouvez perdre la totalité du capital investi. Veuillez comprendre pleinement les risques pertinents et prendre des décisions prudentes en fonction de votre propre situation financière et de votre tolérance au risque. Pour plus de détails, veuillez consulter l'
avertissement.
Articles similaires
Fondateur de Hyperliquid Jeff Yan : à 27 ans, il a commencé avec 10 000 dollars pour atteindre la liberté financière, puis a fondé une bourse décentralisée
Le fondateur de Hyperliquid, Jeff Yan, a retracé, dans une interview, son parcours avant de lancer Hyperliquid. Il a géré une équipe de trading anonyme à grande échelle, Chameleon Trading, et a obtenu une croissance significative avec 10 000 dollars. Insatisfait de l’état de l’industrie crypto et à cause de l’affaire FTX, Jeff a décidé de mettre fin à Chameleon Trading et de se concentrer sur la construction de l’échange décentralisé Hyperliquid.
GateNewsIl y a 56m
Refonte majeure des tokens Aptos : le taux de staking est réduit de moitié, les frais de gaz augmentent de 10 fois et se dirigent vers une contraction de l’offre
La Fondation Aptos a mis à jour l’économie des jetons le 14 avril. Les principales réformes incluent la réduction du taux d’intérêt annuel de l’offre mise en jeu à 2,6 %, l’augmentation des frais Gas d’un facteur 10, la fixation d’un plafond d’offre de 2,1 milliards de jetons et le verrouillage permanent de 210 millions d’APT. Cette adaptation vise à passer d’un modèle d’offre « alimenté par les subventions » à un modèle « axé sur la performance », afin d’atteindre un objectif de déflation et de favoriser la participation à long terme.
MarketWhisperIl y a 1h
Fondateur de Hyperliquid : le plus grand défi de l’année dernière était la latence du serveur, et l’équipe a réécrit le système en profondeur à partir de la base
Le fondateur de Hyperliquid, Jeff Yan, indique que le plus grand défi de 2025 est la latence des serveurs API. L’été dernier, alors que le prix du Bitcoin montait, le volume des transactions a explosé et le système a commencé à accuser des retards ; la réponse aux ordres, qui était instantanée, est passée à 3 secondes, ce qui a affecté l’efficacité des transactions. Après les efforts de l’équipe, le système de serveurs a été entièrement reconstruit, et le problème a finalement été surmonté.
GateNewsIl y a 1h
Pi Network : 18 millions d’utilisateurs ont terminé la KYC, 26,5 millions de PI sont distribués aux vérificateurs.
Pi Network distribue 26,5 millions de jetons PI à plus d’un million de membres de la communauté qui ont terminé la vérification KYC, afin d’accélérer la vérification de l’identité des utilisateurs et de renforcer le modèle décentralisé. 18 millions d’utilisateurs déjà vérifiés ont jeté les bases du développement de l’écosystème, mais l’enjeu principal est de savoir comment transformer ces utilisateurs en participants actifs. À mesure que le protocole évolue, Pi Network progresse vers l’étape du réseau ouvert ; la prise en charge des contrats intelligents laisse présager des cas d’utilisation plus riches.
MarketWhisperIl y a 1h
twin3.ai lance un testnet d’accord d’« âme » pour le Web 4.0, en utilisant un SBT à 256 dimensions pour mettre en œuvre une identité numérique on-chain
Twin3 a lancé le 14 avril une infrastructure d’identité numérique destinée à l’économie des agents, avec un déploiement sur le réseau de test. Ce protocole utilise des jetons à liaison d’âme pour stocker l’identité et l’expérience des utilisateurs, construit une identité numérique, prend en charge des agents IA personnels et favorise la collaboration automatisée au sein de l’économie.
GateNewsIl y a 1h
Faites défiler : proposer la révocation du Conseil de sécurité, plusieurs adresses pour prendre en charge les contrats des trois accords
La Fondation Scroll proposera le 14 avril la dissolution du Conseil de sécurité actuel et transférera les droits de gestion à l’adresse multisignature de Scroll Admin, car les coûts d’exploitation du Conseil de sécurité ne correspondent pas à l’utilisation réelle. La période de transition durera dix jours et dépendra du soutien des membres. La nouvelle architecture continuera de garantir les normes de sécurité des accords et ne signifie pas de compromis sur la sécurité. Le rôle des contributeurs DAO sera également réduit en conséquence, afin de s’adapter aux priorités actuelles et aux besoins opérationnels.
MarketWhisperIl y a 3h
