White Hat-Hacker Genvinder Midler for Hong Coin Investorer
En white hat-hacker har hjulpet skaberne af Hong Coin ved at demonstrere, hvordan man udnytter en defekt admin-funktion på en smart kontrakt, hvilket i sidste ende har ført til tilbagebetaling af investorer efter næsten et årti. Den pseudonyme hacker, kendt som 0xflorent, har genvundet cirka 2 millioner dollars værd af Ether, som har været låst i en defekt initial coin offering (ICO) smart kontrakt i næsten ti år.
“Kontrakten holdt alle investorernes ETH og skulle automatisk tilbagebetale dem,” sagde 0xflorent. “Men en fejl i tilbagebetalingsfunktionen brød stille og roligt, og midlerne blev låst fast.”
Data fra Ethereum block explorer Etherscan viser, at en HONG-investor allerede er blevet tilbagebetalt 96 ETH, der nu er værd omkring 192.500 dollars, mens 0,5 ETH blev returneret til en anden.
Historien om Hong Coin
Hong Coin blev først præsenteret i 2016, og en YouTube-video fra den tid viste tokenet som en fællesskabsdrevet venturekapitalfond, hvor medlemmer af projektets decentraliserede autonome organisation ville hjælpe med at beslutte, hvilke projekter der skulle have støtte. ICO’en startede den 29. august 2016 og sluttede cirka to måneder senere den 28. oktober. Investorer, der sendte ETH til HONG smart kontrakten, skulle modtage 250 millioner HONG tokens fordelt over fem faser, men den nåede ikke sit finansieringsmål, og investorerne skulle have været tilbagebetalt.
Udnyttelse af Sårbarhed
0xflorent sagde, at de samarbejdede med skaberne af HONG og viste dem, hvordan man kunne udtrække de låste midler ved at udnytte en defekt admin-funktion, der nulstillede tokenindehaveres saldi og aktiverede tilbagebetalingsmekanismen.
“Vejen ud var en admin-funktion med en integer overflow-sårbarhed,” forklarede de. “At kalde det med et specifikt input nulstiller en indehavers balance og fjerner blokeringen af tilbagebetalingskontrollen.”
Den 24. maj sagde 0xflorent, at de havde hentet i alt 19,33 ETH, der var værd omkring 40.600 dollars fra et mislykket ICO-projekt i januar 2018 og en Liquality Wallet-bruger, der havde nogle midler fanget i en cross-chain transfer-protokol.
Relateret
Magazine: Store spørgsmål: Har vi virkelig kun brug for 2–5 kryptovalutaer? Mere om emnet.
