Whitehat récupère 2 M$ suite à une faille du contrat HONG de 2016

Un ICO d’Ethereum vieux de dix ans, dont le lancement a échoué, a trouvé une nouvelle vie comme étude de cas sur la détection rétroactive de bogues et la récupération d’actifs. Un pirate à casque blanc pseudonyme connu sous le nom de 0xflorent a récupéré environ 1 003 ETH de l’ICO de Hong Coin (HONG), soit environ 2 millions de dollars à prix actuels, après avoir identifié une faille dans le mécanisme de remboursement qui avait laissé les fonds des investisseurs bloqués pendant des années. La découverte a été révélée dimanche via un message sur X, où 0xflorent a expliqué comment les fonds ont été débloqués puis récupérés auprès de 48 investisseurs ayant participé à la collecte de fonds du projet.

Le projet HONG, présenté en 2016 comme un fonds de capital-risque piloté par la communauté et géré par une organisation autonome décentralisée, offrait aux investisseurs un plan leur permettant de recevoir 250 millions de jetons HONG répartis en cinq étapes. L'ICO a commencé le 29 août 2016 et s'est terminée le 28 octobre 2016. Bien que l'objectif de création de jetons n'ait pas été atteint, les investisseurs ont été promis des remboursements de leurs contributions en ETH. Toutefois, un bug dans la fonction de remboursement a empêché ces remboursements d'être traités, laissant le stock d'ETH effectivement gelé pendant près de dix ans.

Les données de l'Explorateur Ethereum Etherscan confirment les remboursements partiellement effectués : au moins un investisseur a reçu 96 ETH (environ 192 500 $ au prix actuel), et un autre a été remboursé de 0,5 ETH. Ces remboursements font partie des 1 003 ETH liés au pool non résolu, que 0xflorent affirme avoir désormais été débloqué et récupéré avec la coopération du projet.

Le contrat détenait tous les ETH des investisseurs et devait leur faire un remboursement automatique. Toutefois, un bogue dans la fonction de remboursement l’a silencieusement désactivée, et les fonds se sont retrouvés bloqués.

0xflorent a expliqué comment le déblocage a été réalisé en collaborant avec les créateurs de HONG pour exploiter une fonction d'administration défectueuse qui réinitialisait les soldes des détenteurs de jetons et déclenchait le mécanisme de remboursement. Le pirate a décrit la cause racine comme une fonction d'administration présentant une vulnérabilité de débordement d'entier. Lorsqu'elle était appelée avec une entrée précise, la fonction réinitialisait les soldes et désactivait efficacement la vérification de remboursement, permettant ainsi la récupération des fonds bloqués.

Le fil public du développeur a également mentionné des mouvements rétrospectifs antérieurs : le 24 mai, 0xflorent a déclaré avoir récupéré un total de 19,33 ETH dans des actions séparées — comprenant des fonds provenant d’un autre projet ICO échoué en janvier 2018 et d’un utilisateur de Liquality Wallet dont les fonds étaient piégés dans un protocole de transfert interchaînes. Ce schéma plus large — identifier des vulnérabilités héritées et récupérer de manière responsable des actifs isolés — semble être un thème récurrent durant l’ère des ICO et des outils interchaînes de la fin des années 2010.

L'épisode de Hong Coin se situe à l'intersection de l'histoire de la crypto et de la gestion moderne des risques. Le récit de HONG a commencé à l'époque où de nombreux projets cherchaient à créer des communautés autour de la gouvernance décentralisée et du financement de start-ups. L'équipe décrivait le trésor et le flux de remboursement comme essentiels à la promesse du projet. Lorsque l'ICO n'a pas atteint son objectif de collecte de fonds, on s'attendait à ce que les contributeurs soient remboursés automatiquement par le contrat — une attente qui s'est révélée fragile face à des erreurs de programmation.

Du point de vue pratique, cet épisode souligne deux leçons durables pour l’écosystème crypto. Premièrement, même une logique de remboursement bien conçue peut être compromise par de petites mais critiques failles de codage dans les contrats intelligents. Une fonction d’administrateur comportant un bug de débordement peut briser silencieusement le chemin de paiement prévu, piégeant ainsi les fonds qui devraient autrement revenir aux investisseurs. Deuxièmement, cette histoire illustre la valeur potentielle de la divulgation responsable et de la réparation coopérative lorsque des contrats anciens révèlent des vulnérabilités après des années d’inactivité. Dans ce cas, les créateurs de HONG ont été impliqués pour faciliter la récupération, plutôt que de faire face à un litige prolongé ou à des forks qui auraient pu laisser les investisseurs sans voie claire de réparation.

Pour les investisseurs et les développeurs, la récupération de la Hong Coin est un rappel que les projets historiques comportent des risques latents en matière de sécurité et de gouvernance. La vague de ICO de 2016 a laissé derrière elle un large éventail de conceptions de contrats, certaines n'ayant jamais été entièrement auditées ou testées contre des entrées extrêmes. Le fait qu'un white-hat ait pu débloquer des fonds des années plus tard — sans déstabiliser la chaîne dans son ensemble — témoigne de la résilience de l'écosystème Ethereum lorsque des gardiens légitimes interviennent. Toutefois, cela soulève également des questions sur la faisabilité de telles récupérations rétroactives pour d'autres ICO inactives et sur les normes qui devraient régir de telles interventions à l'avenir.

À l'avenir, les observateurs souhaiteront observer comment l'affaire Hong Coin influence les correctifs rétroactifs actuels et futurs. Les développeurs originaux publieront-ils le correctif complet et la trace d'audit de la fonction de remboursement afin d'éviter toute récurrence dans des contrats similaires ? Existent-il d'autres ICOs endormies présentant des vulnérabilités analogues en matière de remboursement ou de gouvernance en attente d'être découvertes ? Et comment les communautés équilibreront-elles l'éthique de l'intervention white-hat avec le risque de conséquences non intentionnelles dans les contrats hérités ?

• Un ICO vieux de dix ans (HONG) a permis de récupérer environ 1 003 ETH auprès de 48 investisseurs après qu'une faille dans la fonction de remboursement ait bloqué les fonds pendant des années.
• Les données publiques montrent que des remboursements ont déjà été effectués à certains investisseurs, dont un bénéficiaire de 96 ETH et un autre de 0,5 ETH, mettant en évidence la récupération d'actifs réels dans les contrats hérités.
• La vulnérabilité provenait d'une fonction d'administrateur présentant un dépassement d'entier, qui, lorsqu'elle était déclenchée avec une entrée spécifique, réinitialisait les soldes et permettait aux remboursements de s'effectuer.
• Les actions de 0xflorent illustrent une approche bienveillante pour débloquer des fonds en collaboration avec les créateurs de projets, et non par exploitation ou perturbation hostile.
• L'épisode renforce des leçons plus larges sur la sécurité des contrats intelligents, notamment en ce qui concerne les contrôles d'administration et les mécanismes de remboursement dans les conceptions de l'ère ICO, et il souligne la valeur continue de la divulgation responsable au sein de l'écosystème.

L'ICO de Hong Coin en 2016 est un instantané d'une époque où la décentralisation et la gouvernance communautaire ont été mises au cœur des récits de levée de fonds. L'ambition du projet — permettre aux membres de la communauté de décider quels projets reçoivent un soutien — a séduit de nombreux partisans de l'éthique de l'ère DAO. Toutefois, le résultat de la levée de fonds, le produit non lancé et les complications liées aux remboursements illustrent comment la fragilité technique peut précéder les ambitions de gouvernance dans les projets crypto.

L'incident illustre également la manière dont l'écosystème crypto peut développer une forme de responsabilité rétrospective. Lorsqu'une faille est découverte dans un contrat longtemps inactif, la communauté peut s'organiser pour récupérer la valeur au lieu de la laisser éternellement bloquée. La collaboration entre 0xflorent et les créateurs de HONG démontre qu'une interaction constructive et techniquement éclairée peut aboutir à une récupération concrète d'actifs sans déclencher de controverse ni de litiges juridiques.

Du point de vue des relations avec les investisseurs, cette affaire fournit un indicateur concret sur la latence de la récupération d'actifs. Bien que le montant exact récupéré évolue probablement encore à mesure que de nouveaux remboursements sont confirmés, les chiffres initiaux et les divulgations ultérieures indiquent que même les actifs longtemps inactifs peuvent retrouver un chemin vers les participants lorsque des vulnérabilités structurelles sont identifiées et traitées de manière coordonnée.

Pour les chercheurs et les développeurs, le récit de Hong Coin est une incitation à privilégier une logique de remboursement solide et des mécanismes de protection dans la conception des contrats. Il met également en lumière l’intérêt de voies d’intervention claires — qu’il s’agisse de programmes officiels de récompense pour la détection de failles, d’audits autorisés ou de processus de remédiation coopérative — qui peuvent faciliter la récupération responsable des actifs dans les contrats hérités sans compromettre la sécurité ou la gouvernance globale du réseau.

Alors que l'histoire se déroule, les observateurs doivent surveiller si les fonds restants verrouillés continueront d'être libérés et si les développeurs publieront des détails techniques supplémentaires ou des enregistrements de correctifs qui pourraient guider des récupérations rétroactives similaires ailleurs. L'affaire Hong Coin pourrait devenir un moment pédagogique sur la manière de gérer les contrats hérités avec des fonds inactifs d'une manière qui protège les intérêts des investisseurs et préserve l'intégrité de l'écosystème.

0xflorent.eth

Cet article a été initialement publié sous Whitehat récupère 2 M$ suite à une faille du contrat ICO de 2016, mettant en lumière les risques sur Crypto Breaking News – votre source de confiance pour les actualités crypto, les nouvelles sur le bitcoin et les mises à jour sur la blockchain.