Whitehat-kehittäjä vapautti 2 miljoonaa dollaria 9 vuotta jumissa olleesta ICO-sopimuksesta
- Nimimerkillä 0xflorent esiintyvä tietoturvatutkija vapautti tiimin kanssa noin 1 003,62 ETH eli noin 2 miljoonaa dollaria, joka oli ollut jumissa yhdeksän vuotta.
- Palautusfunktion bugi hylkäsi haltijat, joiden saldo ylitti vuosien osittaispalautusten painaman globaalin laskurin.
- 0xflorent hyödynsi admin-funktion kokonaisluvun ylivuotoa, mutta purku vaati tiimin multisigin ja allekirjoituksen.
- 48 alkuperäisestä sijoittajasta kaksi on jo lunastanut varansa, yhteensä 96,5 ETH eli noin 193 000 dollaria.
Vuoden 2016 HongCoin-keräys jäi tavoitteestaan ja sen piti palauttaa varat automaattisesti. Pieni koodivirhe esti palautuksen yhdeksäksi vuodeksi, kunnes nimimerkillä 0xflorent esiintyvä tutkija löysi reitin ulos – ja teki sen tiimin luvalla.
Yhdeksän vuotta varat olivat lukossa lohkoketjussa, jonka piti vapauttaa ne itse. HongCoin-niminen ICO-keräys vuodelta 2016 jäi rahoitustavoitteestaan, ja sen älysopimukseen oli kirjoitettu sääntö: jää tavoitteesta, palauta eetterit sijoittajille automaattisesti. Palautus ei koskaan toiminut. Nyt nimimerkillä 0xflorent esiintyvä tietoturvatutkija on vapauttanut noin 1 003,62 ETH eli noin 2 miljoonaa dollaria – yhteistyössä alkuperäisen tiimin kanssa.
Tämä ei ole tavanomainen kryptouutinen. Päivän muut otsikot kertovat hyökkäyksistä ja petoksista, kun taas tässä koodivirhettä käytettiin varojen palauttamiseen, ei viemiseen. Tapauksen ovat raportoineet sekä CoinDesk että 0xflorent itse purkua kuvanneessa X-säikeessään.
Mistä bugi johtui
Palautuslogiikassa oli ehto, joka hylkäsi jokaisen haltijan, jonka token-saldo ylitti globaalin laskurin. Vuosien varrella tehdyt osittaiset palautukset olivat painaneet tuon laskurin lukemaan 356, joten palautusehto läpäisi enää alle 3,56 eetterin saldot ja lähes kaikki haltijat jäivät ulos.
0xflorent löysi reitin sopimuksen admin-funktiosta, jonka käyttö oli rajattu HongCoinin multisigille. Funktiossa piili kokonaisluvun ylivuoto, jota Solidityn myöhemmät suojaukset eivät kattaneet. Tietyllä syötteellä haltijan saldo nollautui yhteen, jolloin palautustarkistus läpäisi.
Kokonaisluvun ylivuoto (integer overflow)
Tietokone varaa luvulle rajatun tilan. Kun laskutoimitus ylittää suurimman mahdollisen arvon, luku kiertää ympäri pienimpään päähän – samaan tapaan kuin matkamittari nollautuu. Vanhoissa älysopimuksissa tätä ei estetty automaattisesti, joten oikealla syötteellä saldon sai pyörähtämään yhteen.
Tiimi allekirjoitti purun itse
Kyseessä ei ollut yksipuolinen exploit. Admin-funktio vaati HongCoinin multisigin, joten 0xflorent lähetti tiimille sähköpostin ja kuvasi löydöksen. Hän validoi tapahtumasarjan Ethereumin haarautetussa testiketjussa, minkä jälkeen tiimi allekirjoitti purkutapahtumat itse.
Tapahtumia tarvittiin 41, yksi kutakin estynyttä haltijaa kohti. Seitsemän muuta, joilla saldo oli pienempi, palautettiin suoraan.
– Tämä on whitehat-toimintaa parhaimmillaan: bugi kääntyi sijoittajien hyväksi, kommentoi 0xflorent purkua kuvanneessa X-säikeessään.
48 alkuperäistä sijoittajaa voi nyt lunastaa varansa. Kaksi on tehnyt sen, yhteensä 96,5 ETH eli noin 193 000 dollaria.
Tämä on 0xflorentin toinen julkistettu palautus kahdeksassa päivässä. Toukokuun 24. päivänä hän palautti 19,329 ETH, arvoltaan noin 40 590 dollaria. Tuolloin varat olivat peräisin vuoden 2018 epäonnistuneesta keräyksestä ja vanhentuneista atomiswapeista, jotka olivat jääneet lukkoon erään lompakkopalvelun lopetettua toimintansa.
Palautin tänään 19,329 ETH jumissa olleita varoja takaisin oikeille omistajille.
– 0xFlorent (@0xFlorent_) May 24, 2026
Ajoitus on huomionarvoinen. Palautukset osuvat raskaan hyökkäysjakson keskelle. Huhtikuun hyökkäysaalto vei satoja miljoonia dollareita eri protokollista. HongCoinin tapaus muistuttaa toisesta riskistä, joka ei katoa mihinkään. Lohkoketjuun julkaistu koodi on pysyvää, ja yksi virhe palautuslogiikassa voi jäädä paikalleen vuosiksi. Moniko muu vanha sopimus pitää yhä varoja lukkojen takana, jää toistaiseksi nähtäväksi.
