Un ICO Ethereum vieux de dix ans avec un lancement raté a trouvé une nouvelle vie en tant qu'étude de cas sur la recherche de bugs rétroactive et la récupération d'actifs. Un hacker white-hat pseudonyme se faisant appeler 0xflorent a récupéré environ 1 003 ETH du ICO Hong Coin (HONG), soit environ 2 millions de dollars aux prix actuels, après avoir identifié un défaut dans le mécanisme de remboursement qui avait laissé les fonds des investisseurs bloqués pendant des années. La divulgation a émergé dimanche via un post sur X, où 0xflorent a expliqué comment les fonds ont été déverrouillés et récupérés auprès de 48 investisseurs qui avaient participé à la collecte de fonds du projet.
Le projet HONG, présenté en 2016 comme un fonds de capital-risque dirigé par la communauté et gouverné par une organisation autonome décentralisée, a offert aux investisseurs un plan pour recevoir 250 millions de jetons HONG répartis sur cinq étapes. L'ICO a commencé le 29 août 2016 et s'est terminé le 28 octobre 2016. Bien que l'objectif de minting n'ait pas été atteint, les investisseurs avaient promis des remboursements de leurs contributions en ETH. Mais un bug dans la fonction de remboursement a empêché ces remboursements d'être traités, laissant la réserve d'ETH effectivement gelée pendant près de dix ans.
Les données de l'explorateur Ethereum Etherscan corroborent les remboursements partiellement effectués : au moins un investisseur a reçu 96 ETH (environ 192 500 $ aux prix actuels), et un autre a été remboursé de 0,5 ETH. Ces remboursements font partie des 1 003 ETH liés à la pool non résolue, que 0xflorent affirme avoir maintenant débloquée et récupérée avec la coopération du projet.
« Le contrat détenait tous les ETH des investisseurs et était censé les rembourser automatiquement. Cependant, un bug dans la fonction de remboursement l'a silencieusement brisé, et les fonds sont restés bloqués. »
0xflorent a expliqué comment le déblocage a été réalisé en travaillant avec les créateurs de HONG pour exploiter une fonction d'administrateur défectueuse qui a réinitialisé les soldes des détenteurs de jetons et déclenché le mécanisme de remboursement. Le hacker a décrit la cause principale comme une fonction d'administrateur avec une vulnérabilité de débordement d'entier. Lorsqu'elle est invoquée avec une entrée précise, la fonction réinitialise les soldes et débloque effectivement le contrôle de remboursement, permettant la récupération des fonds bloqués.
Le fil public du développeur a également noté des mouvements rétrospectifs antérieurs : le 24 mai, 0xflorent a signalé avoir récupéré un total de 19,33 ETH dans des actions séparées - comprenant des fonds d'un autre projet ICO échoué en janvier 2018 et un utilisateur de Liquality Wallet dont les fonds étaient bloqués dans un protocole de transfert inter-chaînes. Ce schéma plus large - identifier les vulnérabilités héritées et récupérer de manière responsable des actifs bloqués - semble être un thème récurrent dans l'ère des ICO et des outils inter-chaînes à la fin des années 2010.
L'épisode du Hong Coin se situe à l'intersection de l'histoire crypto et de la gestion des risques moderne. Le récit de HONG a commencé à une époque où de nombreux projets cherchaient à créer des communautés autour de la gouvernance décentralisée et du financement participatif. L'équipe a décrit le trésor et le flux de remboursement comme centraux à la promesse du projet. Avec l'ICO n'atteignant pas son objectif de collecte de fonds, l'attente était que les contributeurs soient remboursés automatiquement par le contrat - une attente qui s'est avérée fragile en raison d'erreurs de programmation.
D'un point de vue pratique, l'épisode souligne deux leçons durables pour l'écosystème crypto. Premièrement, même une logique de remboursement bien conçue peut être compromise par de petites mais critiques erreurs de codage dans les contrats intelligents. Une fonction d'administrateur avec un bug de débordement peut silencieusement briser le chemin de paiement prévu, piégeant effectivement des fonds qui autrement seraient retournés aux investisseurs. Deuxièmement, l'histoire illustre la valeur d'une divulgation responsable et d'une remédiation coopérative lorsque des contrats hérités présentent des vulnérabilités après des années de dormance. Dans ce cas, les créateurs de HONG ont été engagés pour faciliter la récupération plutôt que de faire face à un litige prolongé ou à des forks qui auraient pu laisser les investisseurs sans voie claire vers une restitution.
Pour les investisseurs et les builders, la récupération du Hong Coin rappelle que les projets historiques comportent des risques latents en matière de sécurité et de gouvernance. La vague d'ICO de 2016 a laissé derrière elle un large éventail de conceptions de contrats, dont certaines n'ont jamais été entièrement auditée ou testée en conditions réelles. Le fait qu'un white-hat ait pu débloquer des fonds des années plus tard - sans déstabiliser la chaîne dans son ensemble - témoigne de la résilience de l'écosystème Ethereum lorsque des gardiens légitimes se manifestent. Cependant, cela soulève également des questions sur la faisabilité de telles récupérations rétroactives pour d'autres ICOs dormants et sur les normes qui devraient régir de telles interventions à l'avenir.
À l'avenir, les observateurs voudront voir comment le cas du Hong Coin influence les corrections rétroactives actuelles et futures. Les développeurs d'origine publieront-ils le patch complet et la piste d'audit pour la fonction de remboursement afin d'éviter une récurrence dans des contrats similaires ? Existe-t-il d'autres ICO dormants avec des vulnérabilités analogues en matière de remboursement ou de gouvernance en attente de découverte ? Et comment les communautés équilibreront-elles l'éthique de l'intervention des white-hats avec le risque de conséquences inattendues dans des contrats hérités ?
Points clés à retenir
Un ICO vieux de dix ans (HONG) a vu environ 1 003 ETH récupérés de 48 investisseurs après qu'un défaut dans la fonction de remboursement ait laissé des fonds bloqués pendant des années.
Des données publiques montrent que des remboursements ont déjà été émis à certains investisseurs, y compris un bénéficiaire de 96 ETH et un autre de 0,5 ETH, mettant en lumière la récupération d'actifs dans des contrats hérités.
La vulnérabilité provient d'une fonction d'administrateur avec un débordement d'entier, qui, lorsqu'elle est déclenchée avec une entrée spécifique, réinitialise les soldes et permet aux remboursements de se poursuivre.
Les actions de 0xflorent illustrent une approche de white-hat pour débloquer des fonds en collaboration avec les créateurs du projet, et non par une exploitation ou une perturbation hostile.
L'épisode renforce des leçons plus larges sur la sécurité des contrats intelligents, en particulier autour des contrôles d'administrateur et des mécanismes de remboursement dans les conceptions de l'ère ICO, et il souligne la valeur continue d'une divulgation responsable dans l'écosystème.
Contexte historique et implications présentes
L'ICO de Hong Coin de 2016 est un instantané d'une époque où la décentralisation et la gouvernance communautaire ont été mises au premier plan des récits de collecte de fonds. L'ambition du projet - permettre aux membres de la communauté de décider quels projets reçoivent un soutien - était attrayante pour de nombreux partisans de l'éthique de l'ère DAO. Pourtant, le résultat de la collecte de fonds, le produit non lancé et les complications de remboursement illustrent comment la fragilité technique peut précéder les ambitions de gouvernance dans les projets crypto.
L'incident illustre également comment l'écosystème crypto peut évoluer vers une forme de responsabilité rétrospective. Lorsqu'un défaut est découvert dans un contrat longtemps dormant, la communauté peut se mobiliser pour récupérer de la valeur plutôt que de la laisser éternellement bloquée. La collaboration entre 0xflorent et les créateurs de HONG démontre qu'une interaction constructive et techniquement informée peut aboutir à une récupération d'actifs tangibles sans déclencher de controverses ou de litiges.
Du point de vue des relations avec les investisseurs, le cas fournit un point de données tangible sur la latence de la récupération d'actifs. Bien que le montant exact récupéré continuera probablement à évoluer à mesure que d'autres remboursements seront confirmés, les chiffres initiaux et les divulgations ultérieures indiquent que même des actifs longtemps dormants peuvent retrouver un chemin vers les participants lorsque des vulnérabilités structurelles sont identifiées et traitées de manière coordonnée.
Pour les chercheurs et les développeurs, le récit du Hong Coin est un appel à prioriser une logique de remboursement robuste et des garde-fous dans la conception des contrats. Il met également en lumière la valeur de voies d'intervention claires - que ce soit par des programmes de bug bounty formels, des audits sanctionnés ou des processus de remédiation coopérative - qui peuvent faciliter une récupération responsable d'actifs dans des contrats hérités sans compromettre la sécurité ou la gouvernance globale du réseau.
Au fur et à mesure que l'histoire se déroule, les observateurs doivent surveiller si les fonds restés bloqués continueront à être libérés et si les développeurs publieront d'autres détails techniques ou enregistrements de patch qui pourraient guider des récupérations rétroactives similaires ailleurs. La saga du Hong Coin pourrait devenir un moment d'apprentissage sur la manière de gérer les contrats hérités avec des fonds dormants d'une manière qui protège les intérêts des investisseurs et préserve l'intégrité de l'écosystème.
Source : 0xflorent.eth
Cet article a été publié à l'origine sous le titre Whitehat récupère 2 millions de dollars d'un défaut de contrat ICO de 2016, soulignant les risques sur Crypto Breaking News - votre source de confiance pour les nouvelles crypto, les nouvelles Bitcoin et les mises à jour blockchain.