Hacker steelt 78 NFT’s ter waarde van 230.000 dollar via lek in NFT-leenplatform Gondi

Een hacker heeft via een kwetsbaarheid in NFT-platform Gondi 78 NFT’s gestolen met een geschatte waarde van 230.000 dollar. Het lek zat in een smart contract waarmee gebruikers NFT-onderpand konden verkopen om leningen terug te betalen.

Gondi heeft de functie direct uitgeschakeld en is begonnen met het compenseren van gedupeerden. Beveiligingsbedrijven verklaren dat het platform inmiddels weer veilig is.

Kwetsbaarheid in “Sell & Repay”-functie

De aanval vond maandag plaats via het zogeheten Sell & Repay-smart contract. Die functie stelde gebruikers in staat om NFT’s die als onderpand voor een lening dienden te verkopen, waarna de lening automatisch werd afgelost.

Hoe de hacker precies misbruik maakte van de functie, heeft Gondi nog niet bekendgemaakt. Wel bevestigt het bedrijf dat er op 20 februari een nieuwe versie van het contract was geïntroduceerd. Gondi benadrukt dat alleen deze specifieke functie kwetsbaar was en dat andere onderdelen van het platform niet zijn geraakt.

Eén gebruiker verloor meer dan 100.000 dollar

Volgens crypto-onderzoeker Tinoch werd één wallet bijzonder hard getroffen. Het adres verloor zo’n 108.000 dollar aan NFT’s, bijna de helft van het totale gestolen bedrag.

De hacker had een deel van de buit al te koop aangeboden, maar de NFT-community wist meerdere items op te sporen. Onder andere Doodle, Aluminum Gazer, Lil Pudgy en Servant of the Muse NFT’s zijn inmiddels teruggevonden en teruggegeven aan de oorspronkelijke eigenaren. Gondi verwacht dat er nog meer items kunnen worden teruggehaald.

Gondi compenseert gedupeerden

Om slachtoffers tegemoet te komen heeft Gondi vergelijkbare NFT’s uit dezelfde collecties gekocht en aan gedupeerden overgedragen. Het gaat niet altijd om exact hetzelfde item, maar het platform ziet dit als een eerlijke oplossing. Met elke getroffen gebruiker wordt individueel aan compensatie gewerkt.

Beveiligingsbedrijf Blockaid en een onafhankelijke auditor hebben het platform na de hack onderzocht en verklaard dat Gondi weer veilig kan worden gebruikt. Alle functies zijn weer beschikbaar, met uitzondering van de Sell & Repay-optie waarvoor nog geen nieuwe versie klaarstaat.