メインコンテンツまでスキップ

Gondi における 23 万ドルの NFT レンディング脆弱性：呼び出し元チェックの欠如により 78 点のブルーチップ NFT が流出した経緯

· 約 12 分
Dora Noda
Dora Noda
Software Engineer

1 つの認可チェックの欠落。17 日間も気づかれず。78 個のブルーチップ NFT — Art Blocks、Doodles、Beeple の作品を含む — が、一度もトランザクションを開始していないウォレットから流出した。2026 年 3 月 9 日の Gondi エクスプロイトは、「便利な機能」がいかに攻撃対象（アタックサーフェス）になり得るか、そしてなぜ NFT レンディング・セクターが代替可能トークン（ファンジブル・トークン）の DeFi にはなかったセキュリティ上の課題に直面しているのかを示す典型的な事例である。

Gondi とは何か、なぜ重要なのか​

Gondi は、ユーザーが NFT を担保に WETH、USDC、または HYPE を借りることができる分散型ピア・ツー・ピア（P2P）NFT レンディング・プロトコルである。オラクルなし、強制清算なし、そして日割り利息が特徴だ。1 億ドルを超える TVL（預かり資産）、4,500 万ドルの負債残高、そして 150 以上のサポート対象コレクション全体で年間 4 億ドル以上の融資実行額を誇る Gondi は、この分野で最大級の NFT 流動性マーケットプレイスとしての地位を確立していた。

このプロトコルは、即時の一部リファイナンス、継続的なアンダーライティング（引受）、マルチ・トランシェ・レンディングなどの革新的な機能を導入した。その利便性機能の 1 つである「Sell & Repay（売却と返済）」は、借り手がエスクローされた NFT を売却し、単一のバンドル・トランザクションで自動的にローンを返済することを可能にし、摩擦とガス代を削減するものだった。

まさにこの利便性機能が、攻撃ベクトルとなったのである。

エクスプロイトの構造​

脆弱なコントラクト​

2026 年 2 月 20 日、Gondi は更新版の Sell & Repay コントラクトをデプロイした。この新バージョンには、バッチ処理用に設計された「Purchase Bundler」機能が含まれていた。しかし、この機能には重大な欠陥があった。呼び出し元（msg.sender）が、取引対象となる NFT の正当な所有者または借り手であるかどうかを適切に検証していなかったのだ。

攻撃はいかに行われたか​

デプロイから 17 日後の 3 月 9 日、攻撃者はこの隙を発見し、悪用した。

  1. 偵察: 攻撃者は公開されているブロックチェーン・データをスキャンし、脆弱な Gondi コントラクトに対して有効なトークン・アプルーバル（承認）を与えているウォレットを探し出した。
  2. 偽造された呼び出し: 攻撃者は自身のウォレットを使用して、ターゲットとなる NFT の詳細を含む捏造された executionData を添えて Purchase Bundler 機能を呼び出した。
  3. 認可のバイパス: コントラクトは呼び出し元が正当な所有者であるかどうかをチェックしなかったため、各呼び出しを正当なものとして処理した。
  4. アプルーバルによる流出: コントラクトは既存のユーザー・アプルーバルを利用して、被害者が新しいトランザクションに署名することなく、被害者のウォレットから NFT を転送した。

約 40 件のトランザクションにわたり、攻撃者は 78 個の NFT を、現在 Etherscan で「GONDI Exploiter」とラベル付けされているアドレスに流出させた。

盗まれたもの​

被害には、NFT エコシステムで最も有名なコレクションがいくつか含まれていた。

  • 44 個の Art Blocks トークン — Ethereum で最も権威のあるコレクションの 1 つであるジェネレーティブ・アート作品
  • 10 個の Doodles — 強力なコミュニティの支持を得ているブルーチップ PFP コレクション
  • 2 個の Beeple「Spring Collection」作品 — クリスティーズでの 6,900 万ドルの落札が NFT ブームを加速させたアーティストの作品
  • 22 個以上の追加 NFT — SuperRare やその他の高価値コレクションから

NFT コレクターの tinoch 氏は、単一の被害者（ウォレット 0x8d1...47051）が約 55 ETH（約 108,000 ドル）を失ったと推定しており、これはエクスプロイトの総額のほぼ半分を占めている。

なぜ既存の監査で見逃されたのか​

この脆弱性は、監査済みで実戦投入されていた Gondi のコアとなるレンディング・ロジックには存在しなかった。それは、新しくデプロイされたコントラクトの一部である周辺的な「利便性」機能 — Purchase Bundler — の中に潜んでいた。標準的な監査範囲は通常、担保の取り扱い、清算ロジック、利息計算などのプロトコルのコア・メカニズムに焦点を当てる。初期デプロイ後に追加された周辺機能は精査が不十分になりがちで、攻撃者が特別に狙うブラインドスポット（死角）を生み出してしまう。

このパターンは不気味なほど一般的である。2024 年から 2025 年のセキュリティ・データによると、アクセス制御の脆弱性は記録された損害のうち 9 億 5,320 万ドルを占めている。ビジネス・ロジックの欠陥（Gondi のバグが該当するカテゴリ）は、OWASP のスマート・コントラクト脆弱性ランキングで 2 位に浮上しており、DeFi の複雑化を反映している。

Gondi の対応：危機管理のケーススタディ​

エクスプロイト後の Gondi の対応は非常に迅速かつ透明性が高く、プロトコルがセキュリティ・インシデントをどのように処理すべきかの基準を示した。

即時アクション​

  • 数時間以内に脆弱な Sell & Repay コントラクトを特定し、無効化した
  • アクティブな融資の担保は影響を受けていないことを確認した（影響を受けたのは、現在アクティブな融資に使用されていないアイドル状態の NFT のみだった）
  • Blockaid および独立したレビュアーによる緊急監査の後、翌日にはほとんどのプラットフォーム運営を再開した

補償戦略​

単に ETH で賠償を申し出るのではなく、Gondi はよりきめ細かなアプローチを取った。

  • 直接回収: チームは二次市場全体で盗まれた NFT を追跡し、資産がエクスプロイトによるものであることを知らずに購入したと思われる買い手を特定した。それらのアイテムは元の所有者に返還されている。
  • 同等品への交換: 直接回収できなかった NFT については、Gondi はプロトコル手数料を使用して、同じコレクションから「同等のアイテム」を購入し始めた。チームは次のように述べている。「全く同じ作品ではないかもしれませんが、これが公平で有意義な解決策であると信じています。」
  • 個別調整: チームは、影響を受けたかどうかにかかわらず、脆弱なコントラクトとやり取りしたすべてのユーザーに直接連絡を取った。

このアプローチは、NFT 特有の性質を認識している。代替可能トークンとは異なり、各作品には独自の特性がある。特定の Art Blocks 作品や特定の Doodle を失ったコレクターにとって、ETH で「同等の価値」を返されても、完全に元通りになったとは言えないからだ。

NFT レンディングエコシステムへの教訓​

1. アプルーバル（承認）管理の徹底は不可欠​

今回のエクスプロイトは、ユーザーが脆弱性のあるコントラクトに対してアクティブなトークンアプルーバル（承認）を持っていたために可能となりました。これは DeFi および NFT プラットフォーム全体にわたる構造的な問題です。ユーザーは日常的にスマートコントラクトに対して無制限の承認を与え、それを失効（revoke）させることはほとんどありません。

ユーザーへのアドバイス: Revoke.cash や Etherscan のトークンアプルーバルチェッカーなどのツールを使用して、不要なトークンの承認を定期的に監査し、取り消してください。承認は、必要最小限の金額と期間に制限するようにしましょう。

2. 周辺機能にもコアレベルの監査が必要​

「Sell & Repay Purchase Bundler」は利便性を高めるための機能であり、レンディングのコアロジックではありませんでした。しかし、この機能はユーザーの承認やコントラクトの権限に対して、コアロジックと同じアクセス権を持っていました。ユーザー資産を移動できる機能は、たとえそれがどれほど「補助的」に見えたとしても、プロトコルの主要機能と同じ厳格な監査を受けなければなりません。

3. デプロイ後の時間差モニタリング​

脆弱性のあるコントラクトは、攻撃を受けるまで 17 日間稼働していました。プロトコルは以下の対策を実装すべきです：

  • デプロイ後のモニタリング: 新しいコントラクトに対する異常検知機能の導入
  • 段階的なロールアウト: 全面的なデプロイの前に、取引制限を設けて新機能をリリースする
  • バグバウンティの強化: コントラクトのアップグレード後 30 日間は報奨金額を引き上げる

4. NFT レンディング特有のセキュリティ課題​

資産の代替が可能なファンジブルトークンの DeFi とは異なり、NFT レンディングプロトコルは以下の課題に対処する必要があります：

  • 承認ベースの攻撃ベクトル: 代替不可能な特定の資産を流出させる可能性がある
  • 複雑な担保管理: 異なる規格を持つ数百のコレクションへの対応
  • リカバリの複雑さ: 盗まれた資産が二次流通市場に流入し、善意の購入者が関与した場合の対応
  • 評価の曖昧さ: 同等の代替品が存在しない可能性があるため、「完全な補填」が困難

現在 78 以上の NFT レンディングおよびレンタルプラットフォームが稼働しており、業界全体で共有のセキュリティ標準と調整された脆弱性公開フレームワークが必要とされています。

スマートコントラクトセキュリティの広範な状況​

Gondi のエクスプロイトは単独で起きた事象ではありません。2025 年上半期だけで、スマートコントラクトのエクスプロイトにより 31 億ドルが失われました。攻撃者は現在、脆弱性が発見されてから平均 5 日以内に攻撃を仕掛けています。これは 2 年前の 32 日から大幅に短縮されており、検知とパッチ適用の猶予期間が急速に縮まっていることを意味します。

2025 年における包括的なスマートコントラクト監査の費用は、通常 25,000 ドルから 150,000 ドルの間です。MythX や Slither などの静的解析ツールは、既知の脆弱性パターンの約 92% を検出できますが、今回のようなビジネスロジックの欠陥（エッジケースのロジックの問題）を見逃す可能性があります。

教訓は明確です。監査は必要ですが、十分ではありません。プロトコルには、形式手法による検証（Formal Verification）、継続的なモニタリング、段階的なデプロイ、そしてアクティブなバグバウンティプログラムを含む多層的なセキュリティが必要です。

今後の展望​

Gondi の事件は、NFT レンディング分野におけるいくつかのトレンドを加速させるでしょう：

  • 保険商品: NFT 担保およびレンディングプロトコルに特化した保険
  • 標準化されたセキュリティフレームワーク: NFT 特有のスマートコントラクトの相互作用に関する基準
  • オンチェーン承認管理: レンディングプロトコルのインターフェースに直接組み込まれた管理ツール
  • リアルタイム監視ダッシュボード: 異常な承認ベースの送金をフラグ立てする機能

Gondi の透明性のある対応と完全な補填へのコミットメントは、長期的にはユーザーの信頼を強化するかもしれません。しかし、このエクスプロイトは厳しい教訓を突きつけました。スマートコントラクトのセキュリティにおいて「些細な」機能など存在しません。ユーザー資産に触れるすべての関数が潜在的な攻撃対象であり、たった一つの require 文の欠落が、かけがえのないデジタルアートの損失につながるのです。

ブロックチェーンインフラストラクチャの構築には、あらゆるレイヤーでのセキュリティが必要です。BlockEden.xyz は、Ethereum、Sui、Aptos、および 20 以上のチェーンで構築を行う開発者向けに、信頼性を備えたエンタープライズグレードの RPC および API サービスを提供しています。API マーケットプレイスを探索して、永続的な基盤の上に開発を始めましょう。

Share on Twitter