Neuf ans, c'est très long pour attendre un remboursement. Mais pour les 48 investisseurs qui ont envoyé des ETH à l'ICO de HongCoin en 2016, cette attente est enfin terminée grâce à un effort Récupération du chapeau blanc Ethereum ICO 2016 qui a extrait plus de 1 000 ETH, d'une valeur d'environ 2 millions de dollars, à partir d'un contrat intelligent qui fonctionnait silencieusement depuis les débuts de la cryptographie.
Le développeur qui a effectué le correctif s'appelle 0xFlorent_ sur les réseaux sociaux. Dans un message partagé dimanche, il a expliqué que le contrat HongCoin ICO avait été construit pour restituer des fonds aux investisseurs si le projet n'atteignait pas son objectif de collecte de fonds. L'objectif n'a pas été atteint. Cependant, un bug dans la fonction de remboursement signifiait qu'aucun argent n'était remboursé. L’ETH est simplement resté là, figé, tandis que le projet disparaissait des mémoires.
Ce qui rend l’histoire remarquable, ce n’est pas seulement le montant en dollars. Cela nous rappelle également que les erreurs écrites dans le code il y a neuf ans peuvent encore affecter les résultats aujourd'hui. En pratique, le cas HongCoin apparaît comme ancien bug de contrat intelligent avec remboursement bloqué peut persister pendant des années avant que quiconque ne trouve une solution viable.
Comment un bug a bloqué les remboursements d'ETH pendant neuf ans
Lorsque les ICO se sont imposées dans les premières années d’Ethereum, les mécanismes étaient relativement simples. Les investisseurs ont envoyé ETH vers un contrat intelligent en échange de jetons liés à un projet qui n'avait souvent pas encore été lancé. Si le projet ne parvenait pas à collecter suffisamment de fonds, le contrat était censé restituer l'ETH.
Le contrat HongCoin prévoyait ce mécanisme. Le problème était que la fonction de remboursement reposait sur un mauvais numéro pour déterminer quels investisseurs étaient éligibles pour récupérer leur argent. Parce que les contrats intelligents font exactement ce qu’ils disent – ni plus, ni moins – ce mauvais numéro signifiait que la fonctionnalité n’identifiait jamais correctement qui pouvait demander un remboursement. Personne n’a reçu son ETH et personne n’a pu le recevoir.
Ce type de bug n'est pas perceptible de l'extérieur. Le contrat a continué à fonctionner sur la blockchain Ethereum longtemps après que HongCoin ait cessé d'avoir de l'importance. Aucun message d'erreur n'est apparu. Aucune alerte n'a été déclenchée. Au lieu de cela, plus de 1 000 ETH sont restés silencieux, ne menant nulle part.
Une solution de contournement débloque des fonds dans 48 portefeuilles d'investisseurs
0xFlorent_ a identifié que la logique défectueuse du contrat pourrait être résolue grâce à une solution de contournement spécifique qui permettrait à l'ancien contrat de reconnaître correctement chaque investisseur bloqué et de débloquer ses remboursements. Après avoir créé et testé ce correctif, l'équipe de HongCoin est intervenue et a exécuté 41 transactions de déverrouillage différentes, libérant finalement des fonds pour les 48 investisseurs impliqués. Les enregistrements en chaîne sur Etherscan ont été fournis comme preuve vérifiable de récupération.
L’ampleur est modeste en termes de dollars par rapport aux normes de 2026. Cependant, le processus lui-même est important. Cela a nécessité l'identification d'un contrat dormant, l'ingénierie inverse pour comprendre pourquoi sa logique de remboursement ne fonctionnait pas, la construction d'un chemin correct fonctionnant dans les limites du contrat d'origine et la coordination avec l'équipe survivante du projet pour exécuter les transactions.
Cette combinaison de précision technique et d’exécution coopérative est exactement ce qui rend les récupérations de type Whitehat si rares.
Pourquoi la récupération de l'ETH de HongCoin est si inhabituelle
Andy Yajin Zhou, professeur agrégé à l'Université chinoise de Hong Kong et co-fondateur de la société de sécurité en chaîne BlockSec, a été direct sur les limites de ce que montre cette reprise. L'affaire HongCoin a fonctionné parce que le contrat contenait une vulnérabilité qu'un développeur qualifié pouvait exploiter en toute sécurité et rediriger vers la restitution des fonds, plutôt que de les voler.
« Malheureusement, nous ne pouvons pas supposer que les anciens contrats Ethereum présentent généralement de tels défauts », a déclaré Zhou. Les fonds bloqués dans de nombreux anciens contrats restent inaccessibles pour des raisons totalement différentes : clés privées perdues, logique contractuelle qui n'offre aucun chemin exploitable ou code si irréversible qu'il n'existe aucune solution de contournement à aucun niveau technique.
Il n’existe même pas d’estimation fiable de la quantité d’ETH bloquée de manière permanente dans les anciens contrats. Le nombre peut être important, mais une grande partie peut être simplement perdue, plutôt que récupérable par quelque moyen que ce soit.
- Il doit y avoir un bug dans le contrat qui soit exploitable sans drainer de fonds de manière malveillante.
- L’équipe du projet d’origine doit toujours être traçable et disposée à agir.
- Le contrat doit encore offrir un point d'entrée technique pour l'intervention.
Si ne serait-ce qu’une de ces conditions manque, les fonds restent gelés. C'est pourquoi Dominick John, analyste chez Zeus Research, a présenté le cas HongCoin comme une preuve que certains actifs considérés comme perdus « pourraient ne pas être inaccessibles » – sans toutefois suggérer que des succès similaires se produisent à chaque coin de rue.
Ce que signifie la récupération pour la sécurité DeFi en 2026
Le moment choisi pour cette reprise s’inscrit dans un contexte sombre pour la sécurité de la finance décentralisée. Plus de 840 millions de dollars ont été perdus lors d’attaques contre les protocoles DeFi au cours des seuls cinq premiers mois de 2026, le seul mois d’avril représentant plus de 600 millions de dollars de fonds volés. Dans ce contexte, une histoire de fonds récupérés – plutôt que volés – semble presque hors de propos.
Il existe néanmoins une différence importante entre deux problèmes très différents. Les fonds gelés en raison de bugs dans les contrats représentent un défaut de conception intégré à l'ancien code. Les fonds volés via les exploits DeFi modernes représentent des vulnérabilités actives et continues dans les protocoles vivants. Les deux répondent au même défi sous-jacent : les contrats intelligents sont rigides et les erreurs ont tendance à se multiplier avec le temps.
Ce que suggère la reprise de HongCoin, comme John l'a souligné, c'est qu'une meilleure recherche sur la sécurité et des outils de blockchain plus sophistiqués pourraient éventuellement faire ressortir davantage de valeur dormante dans les anciens systèmes en chaîne. Certains contrats qui semblent être des impasses ne le sont peut-être pas. Certains ETH perdus il y a des années peuvent encore être récupérés dans de bonnes conditions.
Il s’agit d’un optimisme limité, fondé sur un ensemble de circonstances très spécifiques, mais il est réel. Et pour 48 investisseurs qui n’attendaient plus rien d’un projet de cryptographie de 2016 depuis longtemps, celui-ci valait environ 2 millions de dollars.
FAQ
Comment Whitehat Ethereum a-t-il récupéré l’ETH verrouillé ?
0xFlorent_ a identifié que la fonction de rachat de HongCoin reposait sur un numéro incorrect pour déterminer l'éligibilité des investisseurs. Il a élaboré une solution de contournement qui a permis au contrat de reconnaître correctement les investisseurs bloqués, après quoi l'équipe de HongCoin a exécuté 41 transactions de déblocage pour débloquer les fonds.
Pourquoi les remboursements d’ETH sont-ils bloqués depuis si longtemps ?
Un bug dans le contrat intelligent HongCoin ICO 2016 a brisé le mécanisme de remboursement qui était censé restituer l'ETH aux investisseurs après que le projet n'ait pas atteint son objectif de collecte de fonds. Étant donné que les contrats intelligents exécutent exactement ce qui est codé, la logique défectueuse a empêché tout remboursement pendant neuf ans.
Combien d’investisseurs ont profité de la reprise ?
La reprise a touché 48 investisseurs, avec 41 transactions de déverrouillage exécutées par l'équipe HongCoin pour restituer leurs fonds.
De telles récupérations sont-elles courantes dans les contrats intelligents Ethereum ?
Non. Selon Andy Yajin Zhou, co-fondateur de BlockSec, ces récupérations sont rares et dépendent d'un type très spécifique de vulnérabilité du contrat. On ne peut généralement pas supposer que les anciens contrats Ethereum contiennent des défauts qui permettraient une extraction de fonds en toute sécurité.
Quels sont les défis liés à la récupération des fonds sur d’anciens contrats ?
Les principaux obstacles incluent la perte de clés privées, une logique contractuelle qui n'offre aucun chemin de récupération exploitable et la nécessité de contacter et de se coordonner avec une équipe de projet d'origine qui n'est peut-être plus active. Même lorsqu’un bug existe, les conditions d’une récupération en toute sécurité doivent être précisément alignées.
Voir l’article original en italien
