Майже через дев’ять років після невдачі ICO HongCoin, білий хакер під ніком Florent зумів вивільнити 1003,62 ETH (приблизно $2 млн).
Перший white-hat експлойт в Ethereum: я звільнив 1,003.62
Ξ ($2,000,000), які були заморожені у смарт-контракті ICO 2016 року
протягом 9 років.48 початкових інвесторів тепер можуть отримати свої кошти. pic.twitter.com/lyh5iyaDu7
— 0xflorent.eth (@0xFlorent_) May 31, 2026
Кошти виявилися заблокованими у смарт-контракті HONG, який був розгорнутий 29 серпня 2016 року. Оскільки продаж не досяг мінімального порогу, передбачалося автоматичне повернення Ethereum інвесторам. Однак через критичну помилку в механізмі повернення коштів, монети виявилися замороженими.
Система відхиляла звернення користувачів, якщо їхній баланс перевищував певне значення загального лічильника.
Florent виявив вразливість у службовій функції контракту, створеного на Solidity v0.3.5. У старих версіях цієї мови програмування відсутній захист від переповнення цілих чисел. Хакер встановив, що специфічний виклик функції дозволяє обнулити баланс облікового запису, після чого перевірка проходить успішно.
Оскільки доступ до службової функції обмежувався мультипідписом команди HongCoin, дослідник звернувся до розробників. Спільними зусиллями вони здійснили 41 транзакцію для звільнення коштів 48 інвесторів.
Двоє інвесторів вже вивели 96,5 ETH і добровільно перерахували хакеру винагороду.
HongCoin позиціонувався як «венчурний фонд для всіх». Первинний продаж токенів тривав з 29 серпня по 28 жовтня 2016 року. Вся сума у 1003,62 ETH була відправлена саме до цього контракту і залишалася там дотепер.
Florent раніше вже допомагав у відновленні доступу до активів в інших застарілих протоколах, зокрема у збитковому ICO 2018 року та під час атомарних свопів Liquality. За його словами, для пошуку вразливих контрактів із залишком понад 100 ETH він застосовує власне програмне забезпечення та ШІ-інструменти для попереднього аналізу коду.
Нагадаємо, у квітні було зафіксовано рекордну кількість кібератак у криптоіндустрії за один місяць. Внаслідок понад 20 інцидентів збитки сягнули $651 млн.