Белая шляпа разработчика освобождает $2 млн замороженных средств из контракта токенсейла Ethereum 2016 года

Исследователь безопасности под псевдонимом 0xflorent обнаружил уязвимость целочисленного переполнения в контракте токенсейла HongCoin, выпущенном в 2016 году, позволившую команде разработчиков вернуть средства для первоначальных инвесторов после девяти лет блокировки.

Этот случай стал вторым успешным восстановительным действием, публично объявленным исследователем за последние восемь дней. В рамках скоординированной операции white hat исследователь совместно с командой разработчиков разблокировал около $2 миллионов эфира, ранее заблокированных в результате ошибки в функции возврата средств.

Контракт токенсейла HongCoin был запущен в 2016 году и изначально предполагал автоматический возврат средств инвесторам в случае неудачи кампании по сбору средств. Однако ошибка в коде привела к сбою в механизме возврата, и инвесторы не смогли получить свои деньги обратно. Исследователь 0xflorent выявил, что функция администратора контракта, доступная исключительно кошельку-мультисигнальной подписи HongCoin, не была защищена от целочисленных ошибок, что позволило обойти ограничение на сумму возвращаемых средств и разблокировать средства.

В результате восстановления были разморожены 1,003.62 ETH, теперь 48 оригинальных инвесторов имеют право подать заявку на получение своих средств. Уже два инвестора воспользовались этой возможностью, получив в общей сложности 96.5 ETH, оцененные приблизительно в $193 тыс., согласно сообщениям исследователя в социальной сети.

Это восстановление стало первым публичным примером успешного white-hat взлома на платформе Ethereum. Ранее исследователь уже объявил о восстановлении средств на сумму около $40,590, включая активы, оставшиеся от неудавшегося токенсейла января 2018 года и нескольких атомарных свопов, выполненных через кошелек Liquality Wallet, который прекратил свою работу в 2024 году.

Событие произошло на фоне активного периода атак на децентрализованные финансовые протоколы (DeFi), когда в апреле было зарегистрировано сотни миллионов долларов убытков, среди которых выделяется атака на Kelp DAO, стоившая примерно $293 миллиона.