Спустя почти девять лет после провала ICO проекта HongCoin белый хакер под псевдонимом Florent разблокировал 1003,62 ETH (около $2 млн).
First white-hat exploit on Ethereum: I unlocked 1,003.62 Ξ ($2,000,000) trapped in a 2016 ICO smart contract for 9 years. The 48 original investors can now claim their funds. pic.twitter.com/lyh5iyaDu7— 0xflorent.eth (@0xFlorent_) May 31, 2026
Средства застряли в смарт-контракте HONG, развернутом 29 августа 2016 года. Продажа не достигла минимальной цели, инвесторам должны были автоматически вернуть Ethereum. Но из-за критической ошибки в функции возврата средств монеты оказались заморожены.
Механизм отклонял запросы пользователей, если их баланс превышал значение глобального счетчика.
Florent обнаружил уязвимость в административной функции контракта, написанного на Solidity v0.3.5. В старых версиях языка отсутствовала защита от целочисленного переполнения. Хакер выяснил, что специфический вызов функции позволяет обнулить баланс адреса, после чего проверка функции проходит успешно.
Поскольку доступ к админ-функции был ограничен мультисигом команды HongCoin, исследователь связался с разработчиками. Совместными усилиями они провели 41 транзакцию для разблокировки адресов 48 инвесторов.
Двое уже вывели 96,5 ETH и добровольно отправили хакеру вознаграждение.
HongCoin позиционировался как «венчурный капитал для всех». ICO длилось с 29 августа по 28 октября 2016 года. Все 1003,62 ETH были отправлены именно в этот контракт — и оставались там до сих пор.
Florent уже помогал восстанавливать доступ к активам в других устаревших протоколах, включая неудачное ICO 2018 года и атомарные свопы Liquality. По его словам, для поиска уязвимых контрактов с балансом более 100 ETH он использует собственное ПО и ИИ-инструменты для первичного анализа кода.
Напомним, в апреле зафиксировано рекордное число взломов в криптоиндустрии за месяц. В результате более чем 20 инцидентов ущерб составил $651 млн.
https://forklog.com/news/ai/ii-dlya-poiska-uyazvimostej-oboshel-belyh-hakerov/
