Un chercheur au chapeau blanc a débloqué plus de 2 millions de dollars d’ETH piégés dans un contrat intelligent HongCoin ICO de 2016, restituant des fonds à 48 investisseurs après neuf ans.
Une ICO Ethereum de 2016 appelée HongCoin n’a jamais atteint son objectif de financement. Le contrat était censé régler ce problème. Ce n’est pas le cas. Lecontrat intelligentIl y avait une fonction de remboursement cassée, et l’argent est resté là.
Neuf ans et environ 2 millions de dollars plus tard, un chercheur au chapeau blanc passant par là0xFlorent_ sur Xa annoncé ce qu’il a décrit comme le premier exploit de chapeau blanc sur Ethereum. 1 003,62 ETH, d’une valeur d’environ deux millions de dollars aux prix actuels, étaient bloqués dans ce contrat depuis l’ère de l’ICO. Les 48 investisseurs initiaux n’ont pas pu y toucher.
Neuf ans, un bug, 2 millions de dollars que personne ne pouvait toucher
HongCoin était un projet de collecte de fonds qui s’est déroulé lors de la vague d’ICO de 2016. Il n’a jamais atteint son objectif de financement. Le contrat a été conçu pour rembourser automatiquement les contributeurs lorsque cela se produisait. Selon0xFlorent_ sur X, un bug dans la fonction de remboursement a discrètement cassé le mécanisme. L’ETH était assis là. Personne ne l’a bougé.
Ce n’était pas un vol. Ce n’était pas un tapis. C’était une porte cassée qui semblait fermée des deux côtés. Les investisseurs n’avaient aucun moyen de récupérer leurs fonds et l’équipe de HongCoin n’avait aucun moyen évident de les repousser.
L’adresse du contrat,0x9fa8fa61a10ff892e4ebceb7f4e0fc684c2ce0a9, avait gardé cet ETH bien en vue sur la chaîne tout le temps. N’importe qui pouvait voir l’équilibre. Personne n’avait de moyen d’entrer.
41 transactions plus tard, le verrou s’est finalement brisé
La solution était une fonction d’administration présentant une vulnérabilité de dépassement d’entier. L’appeler avec une valeur d’entrée spécifique réinitialise le solde d’un titulaire et contourne le contrôle de remboursement qui bloquait les retraits. 0xFlorent_a posté la répartition complète sur X, affirmant avoir testé l’approche de bout en bout avant de la partager avec l’équipe HongCoin.
L’équipe a ensuite exécuté 41 transactions de déverrouillage en chaîne plus tôt cette semaine. La preuve en chaîne est visible surcette adresse Etherscan. Le solde ETH dans le contrat indique 1 003,624048369852000001 ETH, évalué à un peu plus de 2 091 775 $ au moment de la rédaction.
Source:0xFlorent_ sur X (capture d’écran Etherscan)
« Un grand merci à l’équipe HongCoin pour avoir fait confiance à l’approche et exécuté la récupération en chaîne », a déclaré 0xFlorent_ sur X. L’équipe, pour sa part, n’a pas posé trop de questions sur la méthode.
Ce qui s’est mal passé avec le contrat HongCoin en 2016
Les bugs de dépassement d’entier étaient un problème courant dans les premiers contrats Ethereum. Avant que Solidity n’ajoute des contrôles de débordement intégrés, les développeurs devaient les ajouter manuellement. Beaucoup ne l’ont pas fait. Une fonction d’administration qui n’était pas destinée à servir de point de sortie contenait l’une de ces faiblesses dans le contrat HongCoin. C’est devenu la seule sortie.
Le tableau d’ensemble raconte une histoire différente de la plupart des exploits cryptographiques. Ce n’était pas une fuite. 0xFlorent_ a trouvé la faille, n’a pas pris l’argent et a cédé le chemin à l’équipe. Les enquêteurs récupèrent rarement des fonds dormants en chaîne comme celui-ci. Leactivité du portefeuille ETH vieille de dix ansqui fait surface en 2026 entraîne généralement des résultats beaucoup moins coopératifs.
Les 48 investisseurs peuvent désormais réclamer leur ETH. Combien de personnes auront encore accès aux adresses de portefeuille d’origine d’il y a neuf ans est une tout autre affaire. Les données en chaîne confirment que les fonds sont débloqués.
Source : Live Bitcoin News
Laisser un commentaire