Десятирічна Ethereum ICO з невдалим запуском отримала нове життя як випадок для ретроспективного пошуку помилок та відновлення активів. Псевдонімний білий хакер під ім’ям 0xflorent відновив близько 1 003 ETH з ICO Hong Coin (HONG), що становить приблизно $2 мільйони за поточними цінами, після виявлення недоліку в механізмі повернення коштів, через який кошти інвесторів роками залишалися заблокованими. Інформація з’явилася в неділю у пості на X, де 0xflorent пояснив, як були розблоковані та відновлені кошти від 48 інвесторів, які взяли участь у зборі коштів проекту.
Проект HONG, представлений у 2016 році як спільнотно-орієнтований венчурний фонд, що керується децентралізованою автономною організацією, запропонував інвесторам план отримання 250 мільйонів токенів HONG у п’яти етапах. ICO розпочався 29 серпня 2016 року і завершився 28 жовтня 2016 року. Хоча мета з випуску токенів не була досягнута, інвесторам було обіцяно повернення їхніх внесків у ETH. Але баг у функції повернення зупинив обробку цих повернень, залишивши сховище ETH фактично замороженим майже десять років.
Дані з Ethereum дослідника Etherscan підтверджують частково завершені повернення коштів: щонайменше один інвестор отримав 96 ETH (приблизно $192 500 за поточних цін), а іншому повернули 0,5 ETH. Ці повернення є частиною більшої суми в 1 003 ETH, пов’язаних із нерозв’язаним пулом, який, за словами 0xflorent, тепер розблоковано та відновлено за співпраці з проектом.
Контракт містив усі ETH інвесторів і мав автоматично повернути їх кошти. Однак баг у функції повернення тихо зламав цей процес, і кошти застрягли.
0xflorent описав, як розблокування було здійснено шляхом співпраці зі створювачами HONG для використання вразливості в адміністративній функції, яка скидала баланси тримачів токенів і активувала механізм повернення коштів. Хакер зазначив, що кореневою причиною була адміністративна функція з вразливістю переповнення цілого числа. При виклику з точним вхідним значенням функція скидала баланси і ефективно розблоковувала перевірку повернення, що дозволило отримати заблоковані кошти.
Публічний пост розробника також зазначив попередні ретроспективні дії: 24 травня 0xflorent повідомив про відновлення загальної суми 19,33 ETH у окремих діях — зокрема кошти з іншого невдалого ICO-проекту у січні 2018 року та користувача Liquality Wallet, кошти якого були заблоковані в протоколі міжланцюгового переказу. Ця ширша тенденція — виявлення застарілих вразливостей та відповідальне відновлення застряглих активів — здається, є повторюваною темою ери ICO та міжланцюгових інструментів кінця 2010-х років.
Епізод з Hong Coin знаходиться на перетині історії криптовалют та сучасного управління ризиками. Історія HONG розпочалася в епоху, коли багато проектів намагалися створювати спільноти навколо децентралізованого управління та венчурного фінансування. Команда описувала скарбницю та потік повернення коштів як центральний елемент обіцянки проекту. Коли ICO не досягла своєї цілі зі збору коштів, очікувалося, що учасники автоматично отримають повернення коштів через контракт — очікування, яке виявилося хрупким на тлі програмних недоліків.
З практичної точки зору цей випадок підкреслює дві тривалі уроки для криптоекосистеми. По-перше, навіть добре продумана логіка повернення коштів може бути скомпрометована невеликими, але критичними помилками у коді смартконтрактів. Функція адміністратора з багом переповнення може тихо порушити передбачуваний шлях виплат, ефективно заблокувавши кошти, які інакше повернулися б інвесторам. По-друге, історія ілюструє потенційну цінність відповідального розкриття та спільного усунення проблем, коли старі смартконтракти виявляють вразливості після років неактивності. У цьому випадку розробники HONG були залучені для сприяння відновленню коштів, а не стояли перед довготривалим спором або форками, які могли б залишити інвесторів без чіткого шляху до відшкодування.
Для інвесторів і розробників відновлення Hong Coin нагадує, що історичні проекти несуть приховані ризики безпеки та управління. Хвилі ICO 2016 року залишили широкий спектр проектів контрактів, де деякі ніколи не були повністю аудитовані чи протестовані на крайніх вхідних даних. Той факт, що білий шапочник зміг розблокувати кошти роки потому — не дестабілізуючи загальну мережу — свідчить про стійкість екосистеми ethereum, коли легітимні кастодіани виступають на передній план. Однак це також викликає питання щодо того, чи можливі подібні ретроспективні відновлення для інших неактивних ICO та які стандарти повинні керувати такими втручаннями у майбутньому.
Дивлячись в майбутнє, спостерігачі зацікавляться тим, як справа Hong Coin вплине на поточні та майбутні виправлення. Чи опублікують початкові розробники повний патч та аудит-трейл для функції повернення коштів, щоб запобігти повторенню подібних вразливостей у інших контрактах? Чи існують інші неактивні ICO з аналогічними вразливостями у функціях повернення коштів чи управління, які чекають на виявлення? І як спільноти збалансують етику втручання білих шапок із ризиком непередбачених наслідків у застарілих контрактах?
Основні висновки
- Десятирічна ICO (HONG) відновила близько 1 003 ETH у 48 інвесторів після того, як помилка у функції повернення коштів залишила кошти заблокованими роками.
- Публічні дані показують, що повернення коштів вже надіслано деяким інвесторам, включаючи отримувача 96 ETH та іншого — 0,5 ETH, що підкреслює реальне відновлення активів у старих контрактах.
- Уразливість виникла через функцію адміністратора з переповненням цілого числа, яка, при активуванні з певним вхідним даним, скидала баланси і дозволяла продовжити повернення коштів.
- Дії 0xflorent демонструють білий капелюх підходу до розблокування коштів у співпраці з створювачами проекту, а не через ворожу експлуатацію чи збурення.
- Цей епізод підкреслює загальні уроки щодо безпеки смартконтрактів, зокрема щодо адміністративного контролю та механізмів повернення коштів у проектах ICO, і підкреслює постійну цінність відповідального розголошення в екосистемі.
Історичний контекст і сучасні наслідки
Ікона Hong Coin 2016 року — це знімок ери, коли децентралізація та спільнотне управління були висунуті на перший план у розповідях про залучення коштів. Амбіції проекту — надати членам спільноти можливість вирішувати, які підприємства отримають підтримку — були привабливими для багатьох прихильників етики ери DAO. Однак результат залучення коштів, незапущений продукт та складності з поверненням коштів ілюструють, як технічна хрупкість може передувати амбіціям управління в криптовалютних проектах.
Цей інцидент також ілюструє, як криптоекосистема може розвивати форму ретроспективної відповідальності. Коли виявляється помилка у довго неактивному контракті, спільнота може об’єднатися, щоб відновити вартість, а не залишити її назавжди заблокованою. Співпраця між 0xflorent та створювачами HONG демонструє, що конструктивна, технічно обґрунтована взаємодія може призвести до реального відновлення активів без виклику суперечок чи правових спорів.
З точки зору взаємодії з інвесторами, цей випадок надає конкретну дану щодо затримки відновлення активів. Хоча точна сума відновлених активів, ймовірно, продовжуватиме змінюватися зі збільшенням кількості підтверджених повернень, початкові цифри та подальші розголошення свідчать, що навіть довго неактивні активи можуть знайти шлях назад до учасників, коли структурні вразливості виявлено та усунено координовано.
Для дослідників і розробників історія Hong Coin є закликом пріоритизувати надійну логіку повернення коштів та захисні механізми у дизайні контрактів. Вона також підкреслює цінність чітких шляхів втручання — будь то формальні програми баг-баунтів, санкціоновані аудити чи спільні процеси виправлення, — які можуть сприяти відповідальному відновленню активів у застарілих контрактах без порушення загальної безпеки чи управління мережею.
Поки розгортається ця історія, спостерігачі повинні стежити за тим, чи будуть продовжуватися виплати залишкових заблокованих коштів, чи опублікують розробники додаткові технічні деталі або записи виправлень, які можуть допомогти у подібних ретроспективних відновленнях. Історія Hong Coin може стати навчальним прикладом того, як правильно поводитися зі старими контрактами з неактивними коштами, щоб захищати інтереси інвесторів і зберігати цілісність екосистеми.
0xflorent.eth
Ця стаття була спочатку опублікована як Whitehat відновлює $2 млн з уразливості в контракті ICO 2016 року, що підкреслює ризик на Crypto Breaking News – вашій надійній джерелі новин про криптовалюти, новин про bitcoin та оновлень блокчейну.