Exploit de Empréstimo de NFT de $230 mil da Gondi: Como uma Falha de Verificação de Chamador Drenou 78 NFTs Blue-Chip

Uma única verificação de autorização ausente. Dezessete dias sem detecção. Setenta e oito NFTs blue-chip — incluindo peças de Art Blocks, Doodles e Beeple — desviados de carteiras que nunca iniciaram uma transação. O exploit da Gondi de 9 de março de 2026 é uma aula magistral sobre como "recursos de conveniência" podem se tornar superfícies de ataque, e por que o setor de empréstimos de NFTs enfrenta desafios de segurança que o DeFi de tokens fungíveis nunca teve que confrontar.

O Que É a Gondi e Por Que Ela Importa

A Gondi é um protocolo descentralizado de empréstimos de NFT peer-to-peer que permite aos usuários tomar emprestado WETH, USDC ou HYPE usando seus NFTs como colateral — sem oráculos, sem liquidações forçadas e com juros pro-rata. Com mais de $100 milhões em valor total bloqueado (TVL), $45 milhões em dívida pendente e um volume de empréstimos anualizado acima de $400 milhões em mais de 150 coleções suportadas, a Gondi se estabeleceu como um dos maiores mercados de liquidez de NFT no espaço.

O protocolo introduziu inovações como refinanciamento parcial instantâneo, subscrição contínua e empréstimos multi-tranche. Um de seus recursos de conveniência, "Sell & Repay", permitia que os mutuários vendessem NFTs custodiados e pagassem automaticamente os empréstimos em uma única transação agrupada — reduzindo o atrito e os custos de gás.

Foi esse recurso de conveniência que se tornou o vetor de ataque.

Anatomia do Exploit

O Contrato Vulnerável

Em 20 de fevereiro de 2026, a Gondi implantou uma versão atualizada de seu contrato Sell & Repay. A nova versão incluía uma função "Purchase Bundler" projetada para operações em lote. Mas a função continha uma falha crítica: ela não verificava adequadamente se o chamador (msg.sender) era o proprietário legítimo ou o mutuário dos NFTs que estavam sendo transacionados.

Como o Ataque se Desenrolou

Em 9 de março — dezessete dias após a implantação — um invasor descobriu e explorou essa lacuna:

1. Reconhecimento: O invasor escaneou dados públicos da blockchain em busca de carteiras que tivessem concedido aprovações de tokens ativas ao contrato vulnerável da Gondi.
2. Chamadas Manipuladas: Usando sua própria carteira, o invasor chamou a função Purchase Bundler com executionData fabricados contendo os detalhes dos NFTs visados.
3. Bypass de Autorização: Como o contrato nunca verificava se o chamador era o proprietário de direito, ele tratava cada chamada como legítima.
4. Drenagem via Aprovações: O contrato usou as aprovações de usuários existentes para transferir NFTs das carteiras das vítimas — sem que as vítimas assinassem uma nova transação.

Em aproximadamente 40 transações, o invasor drenou 78 NFTs para um endereço agora rotulado como "GONDI Exploiter" no Etherscan.

O Que Foi Roubado

O saque incluiu algumas das coleções mais reconhecidas no ecossistema NFT:

• 44 tokens Art Blocks — peças de arte generativa de uma das coleções mais prestigiosas da Ethereum
• 10 Doodles — coleção blue-chip de PFP com forte apoio da comunidade
• 2 peças da "Spring Collection" de Beeple — do artista cuja venda de $69 milhões na Christie's catalisou o boom dos NFTs
• Mais de 22 NFTs adicionais da SuperRare e outras coleções de alto valor

O coletor de NFTs tinoch estimou que uma única vítima (carteira 0x8d1...47051) perdeu aproximadamente 55 ETH — cerca de $108.000 — representando quase metade do valor total do exploit.

Por Que as Auditorias Existentes Não Detectaram

A vulnerabilidade não estava na lógica central de empréstimo da Gondi, que havia sido auditada e testada em batalha. Ela residia em uma função periférica de "conveniência" — o Purchase Bundler — que fazia parte de um contrato recém-implantado. Os escopos de auditoria padrão normalmente se concentram na mecânica central do protocolo: manuseio de colaterais, lógica de liquidação, cálculos de juros. Recursos periféricos adicionados após a implantação inicial geralmente recebem menos escrutínio, criando pontos cegos que os invasores visam especificamente.

Esse padrão é perturbadoramente comum. De acordo com dados de segurança de 2024-2025, vulnerabilidades de controle de acesso representaram $953,2 milhões em danos documentados. Falhas de lógica de negócios — exatamente a categoria em que o bug da Gondi se enquadra — subiram para a segunda posição no ranking de vulnerabilidades de contratos inteligentes da OWASP, refletindo a crescente complexidade do DeFi.

Resposta da Gondi: Um Estudo de Caso em Gestão de Crise

A resposta da Gondi pós-exploit foi notavelmente rápida e transparente, estabelecendo uma referência de como os protocolos devem lidar com incidentes de segurança.

Ações Imediatas

• Identificou e desativou o contrato Sell & Repay vulnerável em poucas horas
• Confirmou que os colaterais de empréstimos ativos não foram afetados — apenas NFTs ociosos (aqueles que não estavam em empréstimos ativos no momento) estavam vulneráveis
• Retomou a maioria das operações da plataforma no dia seguinte, após auditorias de emergência da Blockaid e revisores independentes

Estratégia de Restituição

Em vez de simplesmente oferecer compensação em ETH, a Gondi adotou uma abordagem mais sutil:

• Recuperação direta: A equipe rastreou NFTs roubados em mercados secundários, identificando compradores que aparentemente não sabiam que os ativos eram provenientes do exploit. Esses itens estão sendo devolvidos aos proprietários originais.
• Substituição comparável: Para NFTs que não puderam ser recuperados diretamente, a Gondi começou a usar as taxas do protocolo para comprar "itens comparáveis" das mesmas coleções. Como a equipe declarou: "Embora não seja exatamente a mesma peça, acreditamos que esta é uma resolução justa e significativa."
• Coordenação individual: A equipe entrou em contato diretamente com cada usuário que interagiu com o contrato vulnerável, independentemente de terem sido afetados ou não.

Essa abordagem reconhece algo único sobre os NFTs: ao contrário dos tokens fungíveis, cada peça tem características distintas. Devolver o "valor equivalente" em ETH não recomporia um colecionador se ele perdesse uma peça generativa específica do Art Blocks ou um Doodle em particular.

Lições para o Ecossistema de Empréstimos de NFTs

1. A Higiene de Aprovações é Não Negociável

O exploit só foi possível porque os usuários tinham aprovações de tokens ativas para o contrato vulnerável. Este é um problema sistêmico em todas as plataformas DeFi e NFT: os usuários concedem rotineiramente aprovações ilimitadas a contratos inteligentes e nunca as revogam.

Para os usuários: Audite e revogue regularmente aprovações de tokens desnecessárias usando ferramentas como Revoke.cash ou o verificador de aprovação de tokens do Etherscan. Limite as aprovações ao valor e duração mínimos necessários.

2. Recursos Periféricos Precisam de Auditorias de Nível Core

O Sell & Repay Purchase Bundler era um recurso de conveniência, não uma lógica de empréstimo central. Mas ele tinha acesso às mesmas aprovações de usuários e permissões de contrato. Qualquer função que possa movimentar ativos de usuários — independentemente de quão "auxiliar" pareça — deve receber o mesmo rigor de auditoria que as funções primárias do protocolo.

3. Monitoramento de Implementação com Atraso Temporal

O contrato vulnerável ficou ativo por 17 dias antes da exploração. Os protocolos devem implementar:

• Monitoramento pós-implementação com detecção de anomalias em novos contratos
• Lançamentos por etapas (staged rollouts) onde novos recursos são lançados com limites de transação antes da implementação total
• Amplificação de bug bounty durante os primeiros 30 dias após qualquer atualização de contrato

4. Empréstimos de NFTs Têm Desafios de Segurança Únicos

Ao contrário do DeFi de tokens fungíveis, onde os ativos são intercambiáveis, os protocolos de empréstimo de NFTs devem lidar com:

• Vetores de ataque baseados em aprovação que podem drenar ativos específicos e insubstituíveis
• Gestão complexa de colaterais em centenas de coleções com padrões diferentes
• Complexidade de recuperação quando ativos roubados entram em mercados secundários e compradores inocentes estão envolvidos
• Ambiguidade de avaliação que dificulta a "reparação total" quando substitutos comparáveis podem não existir

Com mais de 78 plataformas de empréstimo e aluguel de NFTs operando atualmente, a indústria precisa de padrões de segurança compartilhados e estruturas coordenadas de divulgação de vulnerabilidades.

O Cenário Mais Amplo da Segurança de Contratos Inteligentes

O exploit da Gondi não aconteceu no vácuo. Somente na primeira metade de 2025, foram perdidos $ 3,1 bilhões em exploits de contratos inteligentes. Os atacantes agora exploram vulnerabilidades em uma média de cinco dias após a descoberta, contra 32 dias há apenas dois anos — o que significa que a janela para detecção e correção está diminuindo rapidamente.

Auditorias abrangentes de contratos inteligentes em 2025 custam normalmente entre $25.000 e$ 150.000. Ferramentas de análise estática como MythX e Slither podem detectar aproximadamente 92% dos padrões de vulnerabilidade conhecidos, mas ainda perdem problemas de lógica de casos isolados — precisamente o tipo de falha de lógica de negócio que permitiu o exploit da Gondi.

A conclusão é clara: as auditorias são necessárias, mas não suficientes. Os protocolos precisam de segurança em camadas, incluindo verificação formal, monitoramento contínuo, implementações em etapas e programas ativos de bug bounty.

Olhando para o Futuro

O incidente da Gondi provavelmente acelerará várias tendências no espaço de empréstimos de NFTs:

• Produtos de seguro projetados especificamente para garantias de NFT e protocolos de empréstimo
• Estruturas de segurança padronizadas para interações de contratos inteligentes específicas de NFTs
• Ferramentas de gestão de aprovação on-chain integradas diretamente nas interfaces dos protocolos de empréstimo
• Dashboards de monitoramento em tempo real que sinalizam transferências incomuns baseadas em aprovações

A resposta transparente da Gondi e o compromisso com a restituição total podem, na verdade, fortalecer a confiança do usuário a longo prazo. Mas o exploit serve como um lembrete contundente: na segurança de contratos inteligentes, não existem recursos "menores". Cada função que toca os ativos do usuário é uma superfície de ataque potencial, e o custo de uma instrução require ausente pode ser medido em arte digital insubstituível.

---

Construir em infraestrutura de blockchain exige segurança em todas as camadas. O BlockEden.xyz fornece serviços de RPC e API de nível empresarial com confiabilidade integrada para desenvolvedores que constroem no Ethereum, Sui, Aptos e em mais de 20 redes. Explore nosso marketplace de APIs para construir sobre bases projetadas para durar.