Points clés à retenir :
Un chercheur en sécurité pseudonyme a récupéré environ 1 003 Ether, d'une valeur d'environ 2 millions de dollars, d'un contrat intelligent ICO de Hong Coin datant de 2016, où un bug dans la fonction de remboursement avait piégé les fonds des investisseurs pendant près d'une décennie.
« Le contrat détenait tous les ETH des investisseurs et était censé les rembourser automatiquement. Cependant, un bug dans la fonction de remboursement a silencieusement brisé ce mécanisme, et les fonds sont restés bloqués », a déclaré 0xflorent, le hacker éthique qui a exécuté la récupération, dans un message publié sur X dimanche.
L'ICO de Hong Coin s'est déroulée du 29 août au 28 octobre 2016, offrant 250 millions de jetons HONG en cinq phases dans le cadre d'un fonds de capital-risque communautaire gouverné par une organisation autonome décentralisée. Lorsque le projet n'a pas atteint son objectif de levée de fonds, le contrat intelligent était conçu pour retourner automatiquement les contributions à 48 investisseurs. Un défaut dans le mécanisme de remboursement — une vulnérabilité de débordement d'entier dans une fonction administrative — a empêché le traitement de ces remboursements, laissant les Ether gelés sur la chaîne.
La récupération a nécessité une collaboration avec l'équipe originale de Hong Coin. 0xflorent a identifié qu'une fonction administrative présentant un bug de débordement d'entier pouvait réinitialiser les soldes des détenteurs de jetons lorsqu'elle était invoquée avec une valeur d'entrée spécifique, débloquant ainsi le contrôle de remboursement. La fonction nécessitant une autorisation du portefeuille multisignature de l'équipe, 0xflorent a contacté les développeurs, validé le correctif sur un réseau de test, et l'équipe a approuvé 41 transactions — une pour chaque investisseur concerné dont le solde devait être ajusté. Sept investisseurs détenaient des montants suffisamment faibles pour recevoir des remboursements directs sans cette solution de contournement.
Les données on-chain d'Etherscan confirment que les remboursements ont commencé à parvenir aux investisseurs. Un participant a reçu 96 ETH, d'une valeur d'environ 192 500 dollars aux prix actuels, tandis qu'un autre a été remboursé de 0,5 ETH. Les deux ont volontairement récompensé 0xflorent avec des primes de white-hat, bien qu'aucun paiement n'ait été exigé. « Il n'y avait pas de frais, pas de commission », a déclaré 0xflorent.
La récupération de Hong Coin n'est pas un cas isolé. Le 24 mai, 0xflorent a signalé avoir récupéré 19,33 ETH provenant de deux contrats anciens distincts — un ICO échoué de janvier 2018 et un utilisateur de Liquality Wallet dont les fonds étaient piégés dans un échange atomique inter-chaînes expiré. Le chercheur a déclaré avoir déployé son propre nœud Ethereum et construit un outil de balayage pour identifier les contrats détenant plus de 100 ETH, puis examiné systématiquement les candidats à la recherche de failles exploitables. Il a utilisé Claude Code pour l'aider à trier et catégoriser les contrats, bien qu'il ait noté que la plateforme d'IA présente des limitations pour analyser directement les failles de sécurité des contrats intelligents.
Cet épisode met en lumière le risque latent intégré dans les contrats intelligents de l'ère ICO, dont beaucoup ont été construits sur des versions obsolètes de Solidity dépourvues de garde-fous tels que SafeMath contre les vulnérabilités de débordement d'entier. Si les registres blockchain sont permanents, l'accès aux actifs verrouillés peut rester impossible sans identifier et exploiter des défauts au niveau du code. Le cas démontre également un modèle de remédiation responsable : une intervention de white-hat coordonnée avec les développeurs d'origine, plutôt qu'une exploitation hostile, peut débloquer de la valeur sans déstabiliser l'écosystème au sens large.
Pour l'industrie crypto, la récupération de Hong Coin soulève des questions pratiques sur le nombre de contrats dormants similaires qui détiennent encore des fonds piégés et sur les normes qui devraient régir les récupérations rétroactives. 0xflorent a exprimé l'espoir que davantage de chercheurs en sécurité emprunteraient cette voie. « C'est plus gratifiant moralement, et cela peut aussi bien payer », a-t-il déclaré.
Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil en investissement.
