Nakarecover ng Whitehat ang $2M mula sa kamalian sa kontrata ng 2016 HONG ICO

Isang ICO ng Ethereum na may edad na sampung taon at nabigo sa pag-launch ay nakakamtan ang bagong buhay bilang isang pag-aaral ng kaso sa retroactive bug hunting at pagbabalik ng mga asset. Isang pseudonymous na white-hat hacker na kilala bilang 0xflorent ay nakarecover ng halos 1,003 ETH mula sa ICO ng Hong Coin (HONG), halos $2 milyon ayon sa kasalukuyang presyo, pagkatapos makahanap ng isang kamalian sa mekanismo ng refund na nag-iwan ng mga pondo ng mga investor na nakaputol sa loob ng maraming taon. Ang pagpapahayag ay lumabas noong Linggo sa pamamagitan ng isang post sa X, kung saan ipinaliwanag ni 0xflorent kung paano binuksan at nakarecover ang mga pondo mula sa 48 na investor na sumali sa pagpupulong ng pondo ng proyekto.

Ang HONG project, na itinampok noong 2016 bilang isang community-driven venture capital fund na pinag-uugnay ng isang decentralized autonomous organization, ay nagtataguyod ng isang plano kung saan ang mga investor ay makakatanggap ng 250 milyong HONG tokens sa limang mga yugto. Ang ICO ay nagsimula noong Agosto 29, 2016, at natapos noong Oktubre 28, 2016. Bagaman hindi natupad ang layunin sa minting, siniguro sa mga investor ang pagbabalik ng kanilang ETH na mga kontribusyon. Ngunit isang bug sa refund function ang nagbawal sa pagproseso ng mga refund, na nagiwan sa stash ng ETH na epektibong nakafreeze sa halos sampung taon.

Ang data mula sa Ethereum Explorer na Etherscan ay nagpapatotoo sa mga bahagyang natapos na refund: kumuhang isang investor ng 96 ETH (halos $192,500 sa kasalukuyang presyo), at isang iba pa ay binayaran ng 0.5 ETH. Ang mga refund na ito ay bahagi ng mas malaking 1,003 ETH na kaugnay sa hindi pa nalulutas na pool, na sinasabing na-unlock at na-reclaim na ngayon kasama ang pakikipagtulungan ng proyekto.

Ang contract ay nagtatago ng lahat ng ETH ng mga investor at dapat ay automatisadong magbabalik sa kanila. Gayunpaman, isang bug sa refund function ay pinauunlad nang tahimik ang proseso, at natigil ang mga pondo.

Isinampa ni 0xflorent kung paano natupad ang pag-unlock sa pamamagitan ng pagtatrabaho kasama ang mga tagapaglikha ng HONG upang gamitin ang isang may defekto na admin function na nag-reset ng balanse ng mga tagapagmaneho ng token at nag-trigger ng mekanismo ng refund. Ipinaliwanag ng hacker ang pangunahing sanhi bilang isang admin function na may vulnerability sa integer overflow. Kapag ginamit nang may tumpak na input, nag-reset ang function ang mga balanse at epektibong in-unblock ang refund check, na nagpapahintulot sa pagkuha ng mga nakalock na pondo.

Ang pampublikong thread ng developer ay nagtala rin ng mga nakaraang paggalaw: noong Mayo 24, ipinahayag ni 0xflorent ang pagkuha ng kabuuang 19.33 ETH sa hiwalay na aksyon—kabilang ang mga pondo mula sa isang iba’t ibang nahulog na ICO project noong Enero 2018 at isang user ng Liquality Wallet kung saan ang mga pondo ay nakapag-iiwan sa isang cross-chain transfer protocol. Ang mas malawak na pattern na ito—pagkilala sa mga lumang vulnerability at pagpapalit nang may responsibilidad sa mga naiwang asset—tila isang paulit-ulit na tema sa panahon ng huling 2010s ng mga ICO at cross-chain tooling.

Ang Hong Coin episode ay nasa krusahan ng kasaysayan ng crypto at modernong pamamahala ng panganib. Ang kuwento ng HONG ay nagsimula sa panahon kung kailan maraming proyekto ang naghahanap ng paraan upang buuin ang mga komunidad sa paligid ng decentralized governance at venture funding. Ang koponan ay naglalarawan ng treasury at refund flow bilang sentro sa pangako ng proyekto. Kasabay ng pagkabigo ng ICO na makamit ang kanilang target na pagsasama-sama ng pondo, ang inaasahan ay ang mga tagapag-ambag ay babayaran muli nang awtomatiko ng contract—isang inaasahang nagpakita ng kahinaan sa pagkakaroon ng mga pagkakamali sa pagprograma.

Mula sa praktikal na pananaw, nagpapakita ang episyodo ng dalawang matatag na aral para sa ecosystem ng cryptocurrency. Una, kahit na maayos na lohika ng refund ay maaaring ma-compromise ng maliit ngunit kritikal na coding flaws sa smart contracts. Isang administrator function na may overflow bug ay maaaring mag-break nang tahimik sa inaasahang payout path, na epektibong nakakapit sa mga pondo na kung saan ay dapat mag-flow pabalik sa mga investor. Ikalawa, ipinapakita ng kuwento ang potensyal na halaga ng responsible disclosure at cooperative remediation kapag lumabas ang vulnerabilities sa legacy contracts matapos ang mga taon ng pagkakatigil. Sa kaso na ito, inilahad ng mga tagapaglikha ng HONG ang pagpapalit upang mapabilis ang pagkuha ng pondo kaysa makaharap sa matagal na pagkakaibigan o fork na maaaring iwanan ang mga investor nang walang malinaw na daan patungo sa pagkakabayaran.

Para sa mga investor at tagatayo, ang pagbabalik ng Hong Coin ay isang paalala na ang mga historical na proyekto ay may nakatagong panganib sa seguridad at pamamahala. Ang alon ng ICO noong 2016 ay nag-iwan ng isang malawak na spectrum ng mga disenyo ng contract, ang ilan sa kanila ay hindi kailanman lubos na auditado o subok laban sa edge-case inputs. Ang katotohanan na isang white-hat ay nakapag-unlock ng mga pondo taon na ang nakalipas—nang hindi nagdulot ng pagkabigo sa mas malawak na chain—ay nagpapakita ng katatagan ng ecosystem ng Ethereum kapag umiiral ang mga legitimate na custodians. Gayunpaman, ito ay nagtataya rin ng mga tanong kung posible pa bang gawin ang mas maraming ganitong retroactive recovery sa iba pang nakatigil na ICOs at anong mga pamantayan ang dapat magbawal sa ganitong mga interbensyon sa hinaharap.

Tungo sa hinaharap, gustong makita ng mga obserbador kung paano ang kaso ng Hong Coin ay nakakaapekto sa kasalukuyan at mga susunod na retroactive na pagpapabuti. Magpapalabas ba ang orihinal na mga developer ng buong patch at audit trail para sa refund function upang maiwasan ang pag-uulit sa mga katulad na contract? Mayroon bang iba pang nakatigil na ICO na may katulad na refund o governance vulnerabilities na naghhintay ng pagkakatuklas? At paano babalansehin ng mga komunidad ang etika ng white-hat intervention kasama ang panganib ng hindi inaasahang epekto sa mga legacy contract?

• Isang ICO na may katagalang sampung taon (HONG) ay nakakabawi ng higit sa 1,003 ETH mula sa 48 na investor pagkatapos ng isang kamalian sa punsiyon ng refund na nag-iwan ng mga pondo na nakapinsala sa loob ng maraming taon.
• Ipinapakita ng pampublikong data na ang mga refund ay naibigay na sa ilang mga investor, kabilang ang isang tagatanggap ng 96 ETH at isa pang 0.5 ETH, na nagpapakita ng real-world asset recovery sa mga lumang kontrata.
• Ang vulnerability ay nagmula sa isang admin function na may integer overflow, na, kapag pinagana ng isang partikular na input, ay nag-reset ng balances at nagbigay-daan para sa mga refund na magpatuloy.
• Ang mga aksyon ni 0xflorent ay nagpapakita ng isang white-hat na pagkakataon upang buksan ang mga pondo kasama ang mga tagapagtatag ng proyekto, hindi sa pamamagitan ng hostil na pagpapahinga o pagkakaingon.
• Ang episyodo ay nagpapatibay sa mas malalaking aral tungkol sa seguridad ng smart contract, lalo na sa mga admin controls at refund mechanisms sa mga disenyo mula sa panahon ng ICO, at ito ay nagte-teklar sa patuloy na halaga ng responsible disclosure sa ecosystem.

Ang ICO noong 2016 ng Hong Coin ay isang snapshot ng isang panahon kung kailan ang decentralization at community governance ay ipinakilala sa unahan ng mga kuwento tungkol sa pagpupulong ng pondo. Ang ambisyon ng proyekto—upang bigyan ng kakayahan ang mga miyembro ng komunidad na pumili kung anong mga proyekto ang tatanggap ng suporta—ay nakakaaliw sa maraming tagasuporta ng ethos ng DAO-era. Gayunpaman, ang resulta ng pagpupulong ng pondo, ang hindi pa inilunsad na produkto, at ang mga komplikasyon sa refund ay ipinapakita kung paano ang teknikal na kahinaan ay maaaring umunlad bago ang mga ambisyon sa pamamahala sa mga crypto venture.

Ang insidente ay nagpapakita rin kung paano maaaring mag-ebolusyon ang crypto ecosystem sa isang anyo ng retrospektibong pagkakasala. Kapag natuklasan ang isang pagkakamali sa isang matagal nang hindi aktibong kontrata, ang komunidad ay maaaring magmobilize upang mabawi ang halaga kaysa hayaan itong manatiling nakapinsala. Ang pakikipag-ugnayan sa pagitan ni 0xflorent at ng mga tagagawa ng HONG ay nagpapakita na ang konstruktibo, teknikal na impormadong interaksyon ay maaaring magdulot ng konkretong pagbabawi ng ari-arian nang hindi nagpapalit ng kontrobersya o legal na pag-aaway.

Mula sa pananaw ng ugnayan sa mga investor, ang kaso ay nagbibigay ng isang konkretong puntos ng datos tungkol sa latency ng pagkuha ng mga asset. Habang ang eksaktong amount na muling natanggap ay malamang ay magpapatuloy na magbabago habang mas maraming refund ay kinumpirma, ang mga unang numero at susunod na pagpapahayag ay nagpapakita na kahit ang mga matagal nang hindi aktibong asset ay maaaring makahanap ng daan pabalik sa mga participant kapag ang mga struktural na kahinaan ay natukoy at napagtagumpayan sa isang koordinadong paraan.

Para sa mga mananaliksik at developer, ang kuwento ng Hong Coin ay isang paalala na prioritizahin ang matibay na lohika ng refund at mga gabay sa disenyo ng contract. Ipinapakita rin nito ang halaga ng malinaw na mga daan para sa interbensyon—kung saan man sa pamamagitan ng pormal na bug-bounty program, sinasadyang audit, o kooperatibong proseso ng pagpapabuti—na makakatulong sa responsableng pagkuha ng mga asset sa mga lumang contract nang hindi ipinapalagay ang pangkalahatang seguridad o pamamahala ng network.

Habang unti-unting nagiging malinaw ang kuwento, dapat obserbahan ng mga manonood kung patuloy na ipapalabas ang natitirang nakapirming pondo at kung magpapalabas ang mga developer ng karagdagang teknikal na detalye o mga tala ng patch na maaaring magbigay gabay sa mga katulad na retroaktibong pagbabalik sa iba pang lugar. Ang kuwento ng Hong Coin ay maaaring maging isang aralin kung paano tanggapin ang mga lumang kontrata na may nakatira na pondo sa isang paraan na protektahan ang interes ng mga investor at panatilihin ang integridad ng ecosystem.

0xflorent.eth

Ito ay orihinal na napanood bilang Whitehat recovers $2M from 2016 ICO contract flaw highlighting risk sa Crypto Breaking News – ang inyong tiwalaan na pinagkukunan ng balita tungkol sa crypto, balita tungkol sa Bitcoin, at mga update sa blockchain.