باحث أمني يُعرف باسم 0xflorent عمل مع الفريق وراء عقد ICO لـ Ethereum (ETH) عام 2016 لفتح حوالي 2 مليون دولار من الإيثيريوم التي كانت محبوسة لمدة تسع سنوات، في عملية استرداد ودية استغلت ثغرة تجاوز عدد صحيح لم يُصلحها المطورون الأصليون أبدًا.
العقد يعود إلى HongCoin، وهو عرض عملات عام 2016 لم يحقق هدف تمويله وكان من المفترض أن يُعيد تلقائيًا الإيثيريوم للمستثمرين، لكنه فشل في ذلك بسبب عيب في وظيفة الاسترداد.
تجمد مسار 0xflorent 1,003.62 ETH، مع تأهل 48 مستثمرًا أصليًا للمطالبة. وقد قام اثنان بذلك، واسترجعا معًا 96.5 ETH بقيمة تقارب 193,000 دولار، كما قال في خيط على X يوم الأحد.
أول استغلال من قبل قرصان أبيض على إيثريوم: فتحت 1,003.62
Ξ ($2,000,000) محبوسة في عقد ذكي لـ ICO عام 2016
لمدة 9 سنوات.
يمكن للمستثمرين الأصليين الـ48 الآن المطالبة بأموالهم. pic.twitter.com/lyh5iyaDu7
رفض منطق استرداد العقد أي حامل كان رصيده من الرموز يتجاوز عدادًا عالميًا خفضته سنوات من الاستردادات الجزئية إلى 356، مما حدّ من استردادات إضافية عند 3.56 ETH.
وجد 0xflorent أن وظيفة مسؤول على العقد، المقتصرة على محفظة متعددة التوقيع الخاصة بـ HongCoin، كانت تفتقر إلى حمايات تجاوز الأعداد الصحيحة التي تم لاحقًا بناؤها في لغة Solidity. عند استدعائها بقيمة إدخال محددة، أعادت تعيين رصيد الحامل إلى واحد، مما سمح لفحص الاسترداد بالمرور وإطلاق الأموال.
لكن لم يكن الاسترداد استغلالًا أحاديًا. نظرًا لأن وظيفة المشرف كانت تتطلب توقيع متعدد التوقيعات من HongCoin لتنفيذها، أرسل 0xflorent بريدًا إلكترونيًا إلى الفريق، وتحقق من تسلسل فتح المحفظة على شوكة اختبارية لشبكة Ethereum الرئيسية، ووقّع الفريق نفسه على معاملات الفتح.
وقّعت على 41 معاملة، واحدة لكل حامل محظور، مما حرر حوالي 1,000 ETH التي كانت عالقة حقًا. كما أن سبعة حاملين آخرين كانوا يمتلكون رصيدًا صغيرًا بما يكفي لاسترداده مباشرة دون الحاجة إلى الحل البديل.
إنها ثاني عملية تعافي من هذا القبيل التي نشرها 0xflorent خلال ثمانية أيام.
في 24 مايو، قال إنه أعاد 19.329 ETH، بقيمة حوالي 40,590 دولارًا، إلى أصحابها الأصليين، بما في ذلك 5.141 ETH من عرض أولي للعملات في يناير 2018 فشل و14.190 ETH من سبع مبادلات ذرية منتهية في حساب مستخدم محفظة Liquality أصبح غير قابل للوصول بعد إغلاق المحفظة في عام 2024.
تعود المناطق المستعادة خلال فترة ثقيلة من استغلالات DeFi، حيث شهد أبريل وحده سحب مئات الملايين من الدولارات عبر البروتوكولات، بقيادة خسارة قدرها حوالي 293 مليون دولار على Kelp DAO.