NFT-hack bij Gondi kost $230.000 aan digitale verzamelobjecten

Het NFT-leenplatform Gondi kreeg deze week te maken met een hack waarbij voor ongeveer $230.000 aan NFT’s werd buitgemaakt. De aanval richtte zich op een specifiek onderdeel van het platform, maar volgens het team bleef de rest van de infrastructuur intact.

Gondi heeft het kwetsbare smart contract inmiddels uitgeschakeld en werkt aan compensatie voor gebruikers die hun digitale verzamelobjecten verloren. Ondertussen zegt het bedrijf dat het platform veilig blijft voor het kopen, verkopen en verhandelen van NFT’s.

Hack trof het Sell & Repay smart contract

De aanval draaide om het zogeheten Sell & Repay-contract. Dat smart contract laat gebruikers een NFT verkopen die als onderpand voor een lening is vastgezet. De opbrengst van de verkoop lost vervolgens automatisch de lening af.

Voor veel crypto-investeerders is dit een bekende DeFi-functie. Een smart contract is namelijk een stukje software op de blockchain dat automatisch transacties uitvoert wanneer aan bepaalde voorwaarden wordt voldaan. In NFT-leningen zorgt het contract er bijvoorbeeld voor dat onderpand veilig blijft zolang de lening openstaat.

Volgens Gondi wist een hacker een fout in dit contract te misbruiken. Op basis van gegevens van blockchain-explorer Etherscan werden maandag rond 08:12 UTC in totaal 78 NFT’s buitgemaakt. Beveiligingsbedrijf Blockaid schat de totale waarde van de gestolen assets op ongeveer $230.000.

Bron : Blockaid

Opvallend is dat Gondi op 20 februari nog een vernieuwde versie van het contract had uitgerold. Het team heeft nog niet uitgelegd hoe de hacker precies toegang kreeg tot de kwetsbaarheid.

Platform blijft grotendeels operationeel

Na het incident schakelde Gondi het Sell & Repay-contract direct uit. De rest van het platform bleef volgens het team onaangetast.

Dat betekent dat gebruikers nog steeds verschillende functies kunnen gebruiken. Zo kunnen ze nieuwe NFT-leningen starten, bestaande leningen herfinancieren of terugbetalen en NFT’s blijven kopen, verkopen en verhandelen.

Beveiligingsbedrijf Blockaid en een onafhankelijke auditor hebben het platform inmiddels opnieuw gecontroleerd. Volgens hun analyse zijn de overige onderdelen van het protocol veilig.

Community helpt bij terughalen van NFT’s

Kort na de hack verschenen sommige gestolen NFT’s al op de markt. Toch wist de NFT-community een deel van de digitale verzamelobjecten terug te krijgen.

Volgens Gondi werden onder meer NFT’s uit de collecties Doodle, Aluminum Gazer, Lil Pudgy en Servant of the Muse opgespoord en teruggegeven aan hun oorspronkelijke eigenaren. Het team verwacht dat er mogelijk nog meer items worden teruggevonden, waaronder NFT’s uit de Taxmen-collectie.

Gedupeerden krijgen vervangende NFT’s

Niet alle NFT’s zijn teruggevonden. Daarom heeft Gondi besloten om getroffen gebruikers op een andere manier te compenseren.

Het platform koopt vergelijkbare NFT’s uit dezelfde collecties en geeft die terug aan de eigenaren. Daarmee probeert het bedrijf de financiële schade zo goed mogelijk te beperken.

Volgens crypto-onderzoeker Tinoch verloor één gebruiker alleen al ongeveer $108.000 aan NFT’s. Dat komt neer op bijna de helft van de totale buit van de aanval.

Hoewel de vervangende NFT’s niet exact hetzelfde exemplaar zijn, noemt Gondi deze aanpak een redelijke oplossing. Het team zegt rechtstreeks met elke getroffen gebruiker samen te werken om een passende compensatie te regelen.

Conclusie

De hack bij Gondi laat zien dat zelfs gespecialiseerde NFT-platforms kwetsbaar kunnen zijn voor fouten in smart contracts. Eén klein probleem in de code kan al genoeg zijn om digitale assets ter waarde van honderdduizenden dollars buit te maken.

Tegelijk laat de snelle reactie van het platform en de hulp van de NFT-community zien hoe belangrijk samenwerking en transparantie blijven binnen de cryptowereld.

FAQ

Wat is een NFT-leenplatform?

Een NFT-leenplatform laat gebruikers geld lenen door een NFT als onderpand te gebruiken. Als de lening niet wordt terugbetaald, kan het platform de NFT verkopen om de schuld te dekken.

Wat betekent een smart contract exploit?

Een exploit betekent dat iemand een fout in de code van een smart contract gebruikt om geld of digitale assets te stelen. Dat gebeurt zonder dat de hacker toegang nodig heeft tot accounts of wachtwoorden.

Zijn NFT-platforms veilig?

Veel platforms laten hun code controleren door beveiligingsbedrijven. Toch kunnen bugs of kwetsbaarheden altijd voorkomen, waardoor incidenten zoals deze soms nog gebeuren.