Ein Sicherheitsforscher mit dem Namen 0xflorent hat sich mit dem Team hinter HongCoin abgestimmt — einem Ethereum-ICO aus dem Jahr 2016, der sein Funding-Ziel verfehlte — um rund 1.003,62 ETH im Wert von etwa 2 Mio. $ freizugeben, die seit neun Jahren im Smart Contract des Token-Verkaufs eingefroren waren. Der Exploit zielte auf einen Integer-Overflow-Fehler in einer Admin-Funktion, den die ursprünglichen Entwickler nie gepatcht hatten — obwohl Solidity später selbst die Schutzmechanismen einbaute, die ihn hätten blockieren können.
Der Bug hatte Refunds jahrelang stillschweigend auf 3,56 ETH gedeckelt. Die Refund-Logik des Vertrags wies jeden Inhaber ab, dessen Token-Saldo einen globalen Zähler überschritt, den Teil-Refunds auf 356 heruntergezogen hatten — 48 ursprüngliche Investoren konnten ihren Anteil nicht abheben. Durch den Aufruf der Admin-Funktion mit einem bestimmten Eingabewert setzte 0xflorent den Saldo eines Inhabers auf eins zurück, sodass die Refund-Prüfung passierte. Da die Admin-Funktion durch HongCoins Multisig geschützt war, mailte er dem Team, validierte die Freigabe-Sequenz auf einem Test-Fork des Ethereum-Mainnets und ließ das Team die 41 Transaktionen selbst signieren.
Warum das wichtig ist
Die Wiederherstellung erinnert daran, wie lange Pre-Solidity-0.8-Verträge mit bekannten, ungefixen Schwachstellen auf dem Mainnet liegen können. Integer-Overflows waren in der Sprache Standardverhalten, bis die 0.8-Compiler-Serie geprüfte Arithmetik erzwang — jeder Vertrag, der vor diesem Härtungs-Fenster deployt wurde, ist theoretisch ein Kandidat für denselben Audit-Durchgang. 0xflorent hat innerhalb von acht Tagen zwei solcher Rettungen öffentlich gemacht: die HongCoin-Freigabe am 31. Mai und am 24. Mai die Rückgabe von 19,329 ETH (etwa 40.590 $), gebunden an einen gescheiterten ICO von Januar 2018 sowie sieben abgelaufene Atomic Swaps in einem Liquality-Wallet-Konto, das seit der Wallet-Schließung 2024 festhing.
Der Multisig-geschützte Charakter der Wiederherstellung unterscheidet sie von den Exploit-Schlagzeilen — das Team willigte ein, die Freigabe wurde von den ursprünglichen Keyholdern signiert, und die Gelder blieben bei denjenigen, denen sie zustanden. Diese Unterscheidung ist relevant, wenn sich DeFi-Verluste häufen: Allein im April wurden Hunderte Millionen über Protokolle hinweg abgezogen, angeführt von einem Verlust von rund 293 Mio. $ bei Kelp DAO.
Häufig gestellte Fragen
-
Wer ist 0xflorent und was hat er wiederhergestellt?
0xflorent ist ein Sicherheitsforscher, der sich mit dem HongCoin-Team abstimmte, um rund 1.003,62 ETH (~$2M) freizugeben, die seit neun Jahren in einem Ethereum-ICO-Vertrag von 2016 festhingen — mithilfe eines ungepatchten Integer-Overflow-Fehlers in der Admin-Funktion des Vertrags.
-
Wie wurde der HongCoin-Refund-Bug behoben, ohne den Vertrag zu brechen?
0xflorent rief die Multisig-geschützte Admin-Funktion des Vertrags mit einem Wert auf, der einen Integer-Overflow auslöste, den Token-Saldo eines Inhabers auf eins zurücksetzte und die defekte Refund-Prüfung (gedeckelt bei 3,56 ETH) passieren ließ. Das HongCoin-Multisig signierte alle 41 Freigabe-Transaktionen selbst.
-
Wie viele ursprüngliche Investoren können fordern, und wie viel wurde bisher eingefordert?
48 ursprüngliche HongCoin-Investoren sind nun berechtigt, Gelder zurückzufordern. Stand des X-Threads von 0xflorent vom 31. Mai hatten zwei bereits zusammen 96,5 ETH im Wert von rund 193.000 $ eingefordert.
-
Ist das das erste Mal, dass 0xflorent festgefahrene Kryptowährungen wiederhergestellt hat?
Nein — am 24. Mai machte er die Rückgabe von 19,329 ETH (~$40,590) öffentlich, darunter 5,141 ETH aus einem gescheiterten ICO von Januar 2018 und 14,190 ETH aus sieben abgelaufenen Atomic Swaps in einem Liquality-Wallet-Konto, das seit der Wallet-Schließung 2024 festhing.
-
Warum ist diese Wiederherstellung über die 2-Mio.-$-Zahl hinaus relevant?
Sie zeigt eine endliche Population von Pre-Solidity-0.8-Verträgen auf dem Mainnet, die weiterhin anfällig für Integer-Overflows sind, und demonstriert ein kooperatives Whitehat-Playbook — Multisig-Einwilligung, team-signierte Transaktionen, Rückgabe der Gelder an die ursprünglichen Eigentümer — das im Kontrast zum…
TheBlock
WuBlockchain
Crypto News
Crypto Rank News
Glassnode
CryptoSlate