Un hacker au chapeau blanc a débloqué 2 millions de dollars dans le cadre d'un contrat intelligent de 2016

Près de neuf ans après l'échec du projet HongCoin ICO, un hacker blanc sous le pseudonyme de Florent a débloqué 1 003,62 ETH (environ 2 millions de dollars).

Premier exploit de chapeau blanc sur Ethereum : j'ai débloqué 1 003,62
Ξ (2 000 000 $) piégé dans un contrat intelligent ICO 2016
pendant 9 ans.

Les 48 investisseurs initiaux peuvent désormais réclamer leurs fonds. pic.twitter.com/lyh5iyaDu7

– 0xflorent.eth (@0xFlorent_) 31 mai 2026

Les fonds sont bloqués dans le contrat intelligent HONG déployé le 29 août 2016. La vente n'a pas atteint l'objectif minimum, les investisseurs auraient dû automatiquement restituer Ethereum. Mais en raison d’une erreur critique dans la fonction de remboursement, les pièces ont été gelées.

Le mécanisme rejetait les demandes des utilisateurs si leur solde dépassait le compteur global.

Florent a découvert une vulnérabilité dans la fonction administrative d'un contrat rédigé en Solidity v0.3.5. Les anciennes versions du langage ne disposaient pas d'une protection contre le débordement d'entier. Le pirate informatique a découvert qu'un appel de fonction spécifique permet de réinitialiser le solde d'adresses, après quoi la vérification de la fonction réussit.

L'accès à la fonction d'administration étant limité au multisig de l'équipe HongCoin, le chercheur a contacté les développeurs. Ensemble, ils ont réalisé 41 transactions pour débloquer les adresses de 48 investisseurs.

Les deux ont déjà retiré 96,5 ETH et ont volontairement envoyé la récompense au pirate informatique.

HongCoin a été positionné comme un « capital-risque pour tous ». L'ICO a duré du 29 août au 28 octobre 2016. La totalité des 1 003,62 ETH ont été envoyés à ce contrat – et y sont restés depuis.

Florent a déjà contribué à restaurer l'accès aux actifs dans d'autres protocoles existants, notamment les swaps atomiques ICO et Liquality qui ont échoué en 2018. Selon lui, pour rechercher des contrats vulnérables avec un solde supérieur à 100 ETH, il utilise ses propres logiciels et outils d'IA pour l'analyse initiale du code.

Rappelons qu'en avril, il y a eu un nombre record de piratages mensuels dans l'industrie de la cryptographie. Suite à plus de 20 incidents, les dégâts se sont élevés à 651 millions de dollars.