Whitehat recupera US$2 milhões de falha no contrato da HONG ICO de 2016

Um ICO de Ethereum com uma década de idade e lançamento falho encontrou nova vida como um estudo de caso em busca retroativa de bugs e recuperação de ativos. Um hacker de chapéu branco pseudônimo conhecido como 0xflorent recuperou cerca de 1.003 ETH do ICO do Hong Coin (HONG), aproximadamente US$ 2 milhões aos preços atuais, após identificar uma falha no mecanismo de reembolso que deixou os fundos dos investidores presos por anos. A divulgação surgiu no domingo por meio de uma postagem no X, onde 0xflorent explicou como os fundos foram desbloqueados e posteriormente recuperados de 48 investidores que participaram da campanha de arrecadação do projeto.

O projeto HONG, apresentado em 2016 como um fundo de capital de risco impulsionado pela comunidade governado por uma organização autônoma descentralizada, ofereceu aos investidores um plano para receber 250 milhões de tokens HONG em cinco etapas. O ICO começou em 29 de agosto de 2016 e encerrou em 28 de outubro de 2016. Embora a meta de cunhagem não tenha sido atingida, os investidores receberam a promessa de reembolso de suas contribuições em ETH. Mas um bug na função de reembolso impediu que esses reembolsos fossem processados, deixando o estoque de ETH efetivamente congelado por quase dez anos.

Dados do Explorador Ethereum Etherscan corroboram os reembolsos parcialmente concluídos: pelo menos um investidor recebeu 96 ETH (cerca de $192.500 aos preços atuais), e outro foi reembolsado com 0,5 ETH. Esses reembolsos fazem parte dos 1.003 ETH vinculados ao pool não resolvido, que 0xflorent afirma ter sido desbloqueado e recuperado com a cooperação do projeto.

O contrato detinha todos os ETH dos investidores e deveria reembolsá-los automaticamente. No entanto, um bug na função de reembolso o quebrou silenciosamente, e os fundos ficaram presos.

0xflorent detalhou como a liberação foi realizada trabalhando com os criadores da HONG para explorar uma função de administrador com falha que redefinia os saldos dos detentores de tokens e acionasse o mecanismo de reembolso. O hacker descreveu a causa raiz como uma função de administrador com vulnerabilidade de estouro de inteiro. Quando invocada com uma entrada precisa, a função redefiniu os saldos e efetivamente desbloqueou a verificação de reembolso, permitindo a recuperação dos fundos bloqueados.

O thread público do desenvolvedor também mencionou movimentos retrospectivos anteriores: em 24 de maio, 0xflorent relatou ter recuperado um total de 19,33 ETH em ações separadas—compreendendo fundos de um projeto diferente de ICO falido em janeiro de 2018 e um usuário da Liquality Wallet cujos fundos ficaram presos em um protocolo de transferência entre cadeias. Esse padrão mais amplo—identificar vulnerabilidades legadas e recuperar responsavelmente ativos isolados—parece ser um tema recorrente na era dos ICOs e ferramentas entre cadeias do final dos anos 2010.

O episódio da Hong Coin situa-se na interseção entre a história da criptomoeda e a gestão moderna de riscos. A narrativa da HONG começou na era em que muitos projetos buscavam construir comunidades em torno da governança descentralizada e do financiamento de risco. A equipe descreveu o tesouro e o fluxo de reembolso como centrais para a promessa do projeto. Com o ICO não atingindo sua meta de captação, esperava-se que os contribuidores fossem reembolsados automaticamente pelo contrato — uma expectativa que se mostrou frágil diante de falhas de programação.

Do ponto de vista prático, o episódio reforça duas lições duradouras para o ecossistema de criptomoedas. Primeiro, mesmo lógicas de reembolso bem concebidas podem ser comprometidas por pequenas, mas críticas, falhas de codificação em contratos inteligentes. Uma função de administrador com um bug de estouro pode interromper silenciosamente o caminho de pagamento pretendido, efetivamente prendendo fundos que de outra forma fluiriam de volta aos investidores. Segundo, a história ilustra o valor potencial da divulgação responsável e da remediação cooperativa quando contratos legados revelam vulnerabilidades após anos de inatividade. Neste caso, os criadores do HONG foram envolvidos para facilitar a recuperação, em vez de enfrentar uma disputa prolongada ou forks que poderiam ter deixado os investidores sem um caminho claro para restituição.

Para investidores e construtores, a recuperação do Hong Coin é um lembrete de que projetos históricos carregam riscos latentes de segurança e governança. A onda de ICOs da era 2016 deixou para trás uma ampla gama de designs de contratos, alguns dos quais nunca foram totalmente auditados ou testados contra entradas de casos extremos. O fato de um white-hat ter conseguido liberar fundos anos depois — sem desestabilizar a cadeia como um todo — demonstra a resiliência do ecossistema Ethereum quando custódios legítimos se apresentam. Contudo, também levanta questões sobre se mais recuperações retroativas desse tipo são viáveis em outras ICOs inativas e quais padrões deveriam reger tais intervenções no futuro.

Olhando para o futuro, os observadores quererão ver como o caso do Hong Coin influencia correções retroativas atuais e futuras. Os desenvolvedores originais publicarão a correção completa e a trilha de auditoria para a função de reembolso, a fim de evitar recorrências em contratos semelhantes? Existem outras ICOs dormentes com vulnerabilidades análogas de reembolso ou governança aguardando descoberta? E como as comunidades equilibrarão a ética da intervenção de “white-hat” com o risco de consequências não intencionais em contratos legados?

• Uma ICO de uma década (HONG) viu cerca de 1.003 ETH recuperados de 48 investidores após uma falha na função de reembolso deixar os fundos presos por anos.
• Dados públicos mostram reembolsos já emitidos para alguns investidores, incluindo um destinatário de 96 ETH e outro de 0,5 ETH, destacando a recuperação de ativos do mundo real em contratos antigos.
• A vulnerabilidade decorreu de uma função de administrador com estouro de inteiro, que, ao ser acionada com uma entrada específica, reiniciou os saldos e permitiu que reembolsos fossem processados.
• As ações de 0xflorent ilustram uma abordagem de boné branco para liberar fundos em colaboração com os criadores do projeto, não por meio de exploração ou interrupção hostis.
• O episódio reforça lições mais amplas sobre segurança de contratos inteligentes, especialmente em relação a controles de administrador e mecanismos de reembolso em designs da era ICO, e enfatiza o valor contínuo da divulgação responsável no ecossistema.

A ICO de 2016 da Hong Coin é um retrato de uma era em que descentralização e governança comunitária foram colocadas no centro das narrativas de captação de recursos. A ambição do projeto — permitir que membros da comunidade decidissem quais empreendimentos recebem apoio — era atraente para muitos apoiadores do ethos da era DAO. Contudo, o resultado da captação, o produto não lançado e as complicações com reembolsos ilustram como a fragilidade técnica pode preceder as ambições de governança em empreendimentos cripto.

O incidente também exemplifica como o ecossistema cripto pode evoluir uma forma de responsabilidade retrospectiva. Quando um erro é descoberto em um contrato há muito inativo, a comunidade pode se mobilizar para recuperar valor em vez de deixá-lo permanentemente perdido. A colaboração entre 0xflorent e os criadores do HONG demonstra que uma interação construtiva e tecnicamente informada pode resultar na recuperação tangível de ativos sem provocar controvérsias ou disputas legais.

Do ponto de vista das relações com investidores, o caso fornece um dado concreto sobre a latência da recuperação de ativos. Embora a quantia exata recuperada provavelmente continue a evoluir à medida que mais reembolsos forem confirmados, os valores iniciais e as divulgações subsequentes indicam que até ativos há muito inativos podem encontrar um caminho de volta aos participantes quando vulnerabilidades estruturais são identificadas e corrigidas de maneira coordenada.

Para pesquisadores e desenvolvedores, a narrativa do Hong Coin é um incentivo para priorizar lógica de reembolso robusta e mecanismos de proteção no design de contratos. Também destaca o valor de caminhos de intervenção claros — seja por meio de programas formais de bug-bounty, auditorias autorizadas ou processos de remediação cooperativa — que possam facilitar a recuperação responsável de ativos em contratos legados sem comprometer a segurança ou governança geral da rede.

À medida que a história se desenrola, os observadores devem monitorar se os fundos restantes bloqueados continuarão a ser liberados e se os desenvolvedores publicarão mais detalhes técnicos ou registros de correções que possam orientar recuperações retroativas semelhantes em outros lugares. A saga do Hong Coin pode se tornar um momento ensinável sobre como lidar com contratos legados com fundos inativos de forma a proteger os interesses dos investidores e preservar a integridade do ecossistema.

0xflorent.eth

Este artigo foi originalmente publicado como Whitehat recupera US$ 2 mi de falha no contrato da ICO de 2016 destacando risco no Crypto Breaking News – sua fonte confiável para notícias de cripto, notícias de Bitcoin e atualizações de blockchain.