Seorang peneliti keamanan yang menggunakan nama samaran 0xflorent bekerja sama dengan tim di balik kontrak ICO Ethereum (ETH) tahun 2016 untuk membuka kunci sekitar $2 juta dalam ether yang telah terjebak selama sembilan tahun. Pemulihan whitehat yang terkoordinasi ini memanfaatkan celah integer-overflow yang tidak pernah ditambal oleh pengembang asli.
Kontrak tersebut milik HongCoin, sebuah penjualan token tahun 2016 yang gagal mencapai target pendanaan dan seharusnya secara otomatis mengembalikan ether investor, namun gagal melakukannya karena bug pada fungsi pengembalian dana.
Jalur yang ditemukan 0xflorent mencairkan 1.003,62 ETH, dengan 48 investor asli yang kini berhak mengklaim. Dua di antaranya telah melakukannya, mengambil total 96,5 ETH senilai sekitar $193.000, ujarnya dalam utas X pada hari Minggu.
Logika pengembalian dana kontrak menolak pemegang saldo token yang melebihi penghitung global yang telah turun menjadi 356 akibat pengembalian dana parsial selama bertahun-tahun, sehingga membatasi pengembalian dana lebih lanjut pada 3,56 ETH.
0xflorent menemukan bahwa fungsi admin pada kontrak, yang dibatasi untuk dompet multisig HongCoin, tidak memiliki perlindungan integer-overflow yang kemudian dibangun ke dalam bahasa pemrograman Solidity. Memanggilnya dengan nilai input tertentu mengatur ulang saldo pemegang menjadi satu, memungkinkan pemeriksaan pengembalian dana lolos dan melepaskan dana.
Namun, pemulihan ini bukan eksploitasi sepihak. Karena fungsi admin memerlukan multisig HongCoin untuk dieksekusi, 0xflorent mengirim email ke tim, memvalidasi urutan buka kunci pada test fork mainnet Ethereum, dan tim itu sendiri yang menandatangani transaksi buka kunci.
Tim menandatangani 41 transaksi, satu per pemegang yang terblokir, membebaskan sekitar 1.000 ETH yang benar-benar terjebak. Tujuh pemegang lainnya memiliki saldo yang cukup kecil untuk dikembalikan secara langsung tanpa jalan pintas.
Ini adalah pemulihan kedua yang dipublikasikan 0xflorent dalam delapan hari.
Pada 24 Mei, ia mengatakan telah mengembalikan 19,329 ETH senilai sekitar $40.590 kepada pemilik aslinya, termasuk 5,141 ETH dari ICO gagal pada Januari 2018 dan 14,190 ETH dari tujuh atomic swap yang kedaluwarsa di akun pengguna Liquality Wallet yang menjadi tidak dapat diakses setelah dompet tersebut ditutup pada 2024.
Pemulihan ini terjadi di tengah gelombang eksploitasi DeFi yang berat, dengan April saja melihat ratusan juta dolar dikuras dari berbagai protokol, yang dipimpin oleh serangan sekitar $293 juta pada Kelp DAO.