Hong Coin позиционировался как управляемый сообществом децентрализованный венчурный фонд, где участники помогают решать, какие проекты получат поддержку. ICO началось 29 августа 2016 года и завершилось через два месяца, 28 октября. Инвесторы, отправившие эфиры на смарт-контракт HONG, должны были получить 250 млн токенов HONG — за пять этапов. Однако целевая сумма не была собрана, а фонд Hong Coin так и не был запущен, поэтому инвесторам полагался возврат вложенных эфиров.
Средства хранились в смарт-контракте, который должен был автоматически вернуть деньги, однако в функции возврата возникла ошибка, и средства застряли. Хакер 0xflorent рассказал, что для вывода криптоактивов он сотрудничал с создателями HONG, показав им способ извлечения заблокированных альткоинов.
Для этого хакер воспользовался административной функцией самого контракта по выпуску баунти-токенов, предназначенных для выплаты вознаграждений за определенные события. Учитывая, что смарт-контракт был написан на устаревшей версии языка Solidity, эта функция не была защищена от целочисленного переполнения (integer overflow). Вызов этой функции сбрасывал баланс держателя до 1, после чего проверка на возврат средств проходила успешно, и эфиры освобождались, объяснил позже хакер-аноним.
Для исполнения административной функции нужна была мультиподпись Hong Coin, поэтому команда криптопроекта сама подписывала транзакции разблокировки, следуя инструкциям белого хакера. По его словам, весь процесс занял около недели.
0xflorent рассказал, что два инвестора уже вернули в общей сложности 96,5 ETH на сумму $193 000 и перевели ему награду за возврат денег. Хакер заверил, что решение о награде инвесторы приняли добровольно, он их об этом не просил. Аноним изучал смарт-контракт Hong Coin, по его словам, из благих побуждений — в структуре не было уязвимостей, которые позволили бы злоумышленникам присвоить средства, поэтому единственной целью являлось возвращение эфиров законным владельцам.
Белые хакеры помогают не только возвращать средства, но и задерживать организаторов мошеннических проектов, как это случилось в 2022 году. Независимый специалист по кибербезопасности заставил основателей проекта StableMagnet, укравших у пользователей $25 млн, вернуть деньги.
Источник: bits.media
Обсуждение: post