Un chercheur white-hat a débloqué plus de 2 millions de dollars en ETH piégés dans un contrat intelligent de l’ICO HongCoin de 2016, restituant les fonds à 48 investisseurs après neuf ans.
Une ICO Ethereum de 2016 appelée HongCoin n’a jamais atteint son objectif de financement. Le contrat était censé gérer ce problème. Il ne l’a pas fait. Le contrat intelligent avait une fonction de remboursement défectueuse, et l’argent est simplement resté là.
Neuf ans et environ 2 millions de dollars plus tard, un chercheur white-hat connu sous le nom de 0xFlorent_ sur X a annoncé ce qu’il a décrit comme la première exploitation white-hat sur Ethereum. 1 003,62 ETH, d’une valeur d’environ deux millions de dollars aux prix actuels, étaient bloqués dans ce contrat depuis l’ère des ICO. Les 48 investisseurs d’origine ne pouvaient pas y toucher.
Neuf ans, un bug, 2 millions de dollars que personne ne pouvait toucher
HongCoin était un projet de levée de fonds qui a eu lieu pendant la vague d’ICO de 2016. Il n’a jamais atteint son objectif de financement. Le contrat était conçu pour rembourser automatiquement les contributeurs lorsque cela se produisait. Selon 0xFlorent_ sur X, un bug dans la fonction de remboursement a discrètement cassé le mécanisme. Les ETH sont restés là. Personne ne les a déplacés.
Ce n’était pas un vol. Ce n’était pas un rug pull. C’était une porte cassée qui semblait fermée des deux côtés. Les investisseurs n’avaient aucun moyen de récupérer les fonds, et l’équipe de HongCoin n’avait aucun moyen évident de les renvoyer.
L’adresse du contrat, 0x9fa8fa61a10ff892e4ebceb7f4e0fc684c2ce0a9, détenait ces ETH bien en vue sur la chaîne pendant tout ce temps. Tout le monde pouvait voir le solde. Personne n’avait de moyen fonctionnel d’y entrer.
41 transactions plus tard, le verrou a enfin cédé
La sortie était une fonction d’administration avec une vulnérabilité de dépassement d’entier. En l’appelant avec une valeur d’entrée spécifique, le solde d’un détenteur est réinitialisé et la vérification de remboursement qui bloquait les retraits est contournée. 0xFlorent_ a publié l’analyse complète sur X, disant qu’il avait testé l’approche de bout en bout avant de la partager avec l’équipe de HongCoin.
L’équipe a ensuite exécuté 41 transactions de déverrouillage sur la chaîne plus tôt cette semaine. La preuve sur chaîne est visible à cette adresse Etherscan. Le solde ETH dans le contrat s’élève à 1 003,624048369852000001 ETH, d’une valeur d’un peu plus de 2 091 775 $ au moment de la rédaction.
Source : 0xFlorent_ sur X (capture d’écran Etherscan)
« Merci beaucoup à l’équipe de HongCoin d’avoir fait confiance à l’approche et d’avoir exécuté la récupération sur chaîne », a déclaré 0xFlorent_ sur X. L’équipe, de son côté, n’a pas posé trop de questions sur la méthode.
Ce que le contrat HongCoin a mal fait en 2016
Les bugs de dépassement d’entier étaient un problème courant dans les premiers contrats Ethereum. Avant que Solidity n’ajoute des vérifications de dépassement intégrées, les développeurs devaient les ajouter manuellement. Beaucoup ne l’ont pas fait. Une fonction d’administration qui n’était pas destinée à être le point de sortie contenait l’une de ces faiblesses dans le contrat HongCoin. Elle est devenue la seule sortie.
Le tableau général raconte une histoire différente de la plupart des exploits de crypto-monnaies. Ce n’était pas un drainage. 0xFlorent_ a trouvé la faille, n’a pas pris l’argent et a remis le chemin à l’équipe. Les enquêteurs récupèrent rarement des fonds dormants sur chaîne de cette manière. L’activité du portefeuille ETH vieux d’une décennie qui refait surface en 2026 donne généralement des résultats bien moins coopératifs.
Les 48 investisseurs peuvent désormais réclamer leurs ETH. Combien d’entre eux auront encore accès aux adresses de portefeuille d’origine d’il y a neuf ans est une tout autre affaire. Les données sur chaîne confirment que les fonds sont débloqués.
Laisser un commentaire