White Hat-Hacker Hjelper Hong Coin med Refusjoner
En white hat-hacker har hjulpet skaperne av Hong Coin ved å vise dem hvordan de kan utnytte en feilaktig admin-funksjon i en smartkontrakt, og dermed refundere investorer etter nesten et tiår. Den pseudonyme white hat-hackeren, kjent som «0xflorent», har bidratt til å gjenopprette omtrent 1,003 Ether (ETH) verdt $2 millioner fra 48 investorer som deltok i Hong Coin (HONG) ICO, et desentralisert risikokapitalfond som aldri ble lansert fordi det ikke nådde sitt finansieringsmål.
Feil i Refusjonsfunksjonen
I et innlegg på X søndag, sa 0xflorent at «kontrakten holdt all investorers ETH og skulle automatisk refundere dem.» Imidlertid førte «en feil i refusjonsfunksjonen til at dette ikke skjedde, og midlene ble sittende fast.» Data fra Ethereum-block explorer Etherscan viser at en HONG-investor allerede har fått refundert 96 ETH, som nå er verdt omtrent $192,500, mens 0.5 ETH ble returnert til en annen investor.
Historien Bak Hong Coin
Hong Coin ble først presentert i 2016, og en YouTube-video fra den tiden viste tokenet som et fellesskapsdrevet risikokapitalfond der medlemmene av prosjektets desentraliserte autonome organisasjon skulle bestemme hvilke prosjekter som skulle få støtte. ICO-en startet 29. august 2016 og ble avsluttet omtrent to måneder senere, 28. oktober. Investorer som sendte ETH til HONG-smartkontrakten skulle motta 250 millioner HONG-tokens fordelt over fem faser, men siden finansieringsmålet ikke ble nådd, skulle investorene få refundert pengene sine.
Utnyttelse av Admin-Funksjon
0xflorent forklarte at de samarbeidet med HONG-skaperne og viste dem hvordan de kunne hente ut de låste midlene ved å utnytte en feilaktig admin-funksjon som tilbakestilte tokeninnehaveres saldoer og utløste refusjonsmekanismen.
«Veien ut var en admin-funksjon med en integer overflow-sårbarhet,» forklarte de. «Å kalle det med et spesifikt input tilbakestiller en innehavers saldo og fjerner blokkeringen av refusjonskontrollen.»
Den 24. mai sa 0xflorent at de hadde hentet en samlet 19.33 ETH, verdt omtrent $40,600, fra et mislykket ICO-prosjekt i januar 2018, samt fra en Liquality Wallet-bruker som hadde midler fanget i en tverrkjede-overføringsprotokoll.
