Goldpesa erlitt einen Angriff, der laut SlowMist-Monitoring zu Verlusten von etwa 114.900 US-Dollar führte. Laut Foresight News lag das Problem in der Funktion GPXHooks' reBalance(), die einen gemeinsamen PositionManager verwendete, um Liquiditätsoperationen auszuführen, ohne zu prüfen, ob das Währungsdelta von GPX/USDC null war. Dadurch blieb der Burn-Kredit des Hooks nicht vom Zustand des Aufrufers isoliert.

Der Angreifer verwendete Unlock und eine nicht abgeglichene MINT_POSITION-Operation, um eine negative Delta-Änderung zu erzeugen, und löste dann ein Rebalance aus, um einen positiven Kredit für den Hook zu generieren. Allerdings konnte TAKE_PAIR nur den Nettobetrag abziehen, sodass der Hook tatsächlich etwa 33.900 USDC erhielt, wobei der Unterschied durch die daraus resultierende Phantom-Schuld ausgeglichen wurde. Anschließend verbrannte der Angreifer die eigene Position und löschte die Schuld, wobei er etwa 115.000 USDC aus PoolManager abzog.