La récupération par un chercheur en white-hat de 1 003,62 ETH provenant d'une ICO Ethereum ratée de 2016 a transformé une ancienne faille dans le contrat intelligent en un rappel que les premières décisions techniques d'Ethereum peuvent rester actives pendant près d'une décennie.
Le chercheur, connu sous le nom de 0xFlorent, a déclaré avoir débloqué les ETH du contrat HongCoin après que les fonds étaient restés bloqués pendant neuf ans. En utilisant un prix d'Ethereum du 1er juin d'environ 1 983 $, le montant récupéré valait environ 1,99 million de dollars.
La récupération reposait sur le multisig original de HongCoin. Le contrat HongCoin nécessitait toujours une action depuis ce chemin de gestion pour les appels administratifs pertinents.
Cela rapprochait l'épisode plus de l'archéologie contractuelle que d'une exploitation conventionnelle : le même code immuable qui avait préservé l'échec du remboursement avait également préservé une voie oubliée pour contourner cette difficulté.
[
Articles connexes
Quelqu'un vient de vider des portefeuilles Ethereum inactifs depuis longtemps, et la cause pourrait remonter à plusieurs années
Des centaines de portefeuilles Ethereum inactifs depuis longtemps ont été transférés vers une adresse marquée alors que chercheurs et utilisateurs débattent encore si des anciennes clés, des outils de portefeuille faibles ou une autre vulnérabilité ont ouvert la porte.
1er mai 2026 · Liam 'Akiba' Wright
Le contraste avec HongCoin est frappant. La couche de base d'Ethereum est restée inchangée. Un chemin de permission toujours valide et une signature coordonnée depuis le multisig original rendaient 48 investisseurs initiaux éligibles à réclamer leurs fonds grâce à un mécanisme de remboursement qui était rompu depuis des années.
Comment le chemin de remboursement s'est cassé
HongCoin était un projet Ethereum de 2016 dont le dépôt public le décrivait comme un fonds de venture décentralisé. La vente de tokens n'avait pas atteint son objectif de financement, et les contributeurs étaient censés pouvoir récupérer leurs ETH via la fonction de remboursement du contrat.
Le problème résidait dans la comptabilité du contrat. Dans le code source de HongCoin, la fonction refundMyIcoInvestment() vérifie si le solde token du demandeur est supérieur à tokensCreated. Si cette condition est vraie, l'appel de remboursement échoue.
Si elle passe, la fonction met à zéro le solde token du demandeur, efface la comptabilité associée, réduit tokensCreated de ce solde token, puis envoie le remboursement.
Au fil du temps, les remboursements antérieurs avaient réduit le compteur global tokensCreated. Cela plaçait les détenteurs plus importants dans une position étrange : ils avaient encore des soldes liés à leurs réclamations initiales, mais ces soldes pouvaient être trop élevés pour le compteur restant du contrat.
La fonction de remboursement les traitait alors comme invalides, bloquant précisément les utilisateurs qu'elle était censée rembourser.
La voie de sortie était un autre morceau de code ancien. La fonction administrative mgmtIssueBountyToken(), limitée au multisig, pouvait ajouter une quantité fournie au solde d'un destinataire ainsi qu'à bountyTokensCreated.
Cette voie appartenait au côté gestionnaire du contrat, raison pour laquelle le multisig original devait y participer. L'arithmétique moderne de Solidity revertit par défaut en cas de débordement.
Avant Solidity 0.8.0, l'arithmétique se retournait en cas de débordement à moins que les développeurs n'ajoutent leurs propres vérifications. Ce comportement ancien a façonné la voie de sortie.
0xFlorent a identifié un moyen d'utiliser le comportement arithmétique de la fonction administrative pour réinitialiser le solde d'un détenteur suffisamment bas pour que la vérification de remboursement passe. Le résultat était paradoxal : un bug obsolète a aidé à annuler les dommages pratiques causés par un autre bug obsolète.
| Étape | Détail clé |
|---|---|
| Vente de tokens de 2016 | HongCoin a collecté des ETH pour un projet Ethereum de type fonds de venture qui n'a pas atteint son objectif par la suite. |
| Échec du remboursement | La fonction de remboursement rejetait les détenteurs plus importants une fois que le compteur global de tokens était tombé en dessous de leurs soldes. |
| Ancienne voie administrative | Une fonction limitée par le multisig existait encore et pouvait modifier les soldes en utilisant le comportement arithmétique pré-0.8 de Solidity. |
| Récupération par un whitehat | 0xFlorent s'est coordonné avec le multisig original de HongCoin pour rendre les détenteurs bloqués éligibles à réclamer leurs fonds. |
| Preuve sur la blockchain | Une transaction du 29 mai montre un appel réussi de refundMyIcoInvestment() produisant un transfert interne de 96 ETH. |
Le multisig a rendu la récupération coordonnée
La condition du multisig a fixé une limite à la récupération de HongCoin. La voie sensible exigeait que l'adresse de gestion originale de HongCoin exécute les appels pertinents, donc la récupération pratique dépendait de la coopération entre le chercheur et l'ancienne voie de contrôle.
La coordination avait autant de poids que le code. La récupération impliquait 41 transactions signées pour les détenteurs bloqués, tandis que sept autres détenteurs plus petits pouvaient se faire rembourser directement sans contournement.
L'ICO avait débuté le 29 août 2016, s'était terminée le 28 octobre 2016 et n'avait pas atteint son objectif de financement.
La trace sur la blockchain montre déjà une activité de remboursement. Une transaction sur la blockchain du 29 mai a appelé refundMyIcoInvestment() et a produit un transfert interne de 96 ETH du contrat HongCoin vers une adresse d'investisseur.
La valeur de la transaction de haut niveau était de 0 ETH parce que le mouvement réel s'était effectué à l'intérieur de l'appel au contrat.
Quiconque suit l'argent devrait séparer l'éligibilité de la distribution complète. L'état du contrat et l'exécution du multisig ont rouvert une voie de réclamation pour des fonds qui étaient inaccessibles depuis des années.
Les exemples visibles sur la blockchain montrent une activité de remboursement plutôt qu'une comptabilité complète de chaque réclamation d'investisseur éligible.
Le cas de HongCoin doit être lu attentivement avant que quiconque ne généralise à d'autres fonds bloqués anciens. Les ingrédients étaient inhabituellement spécifiques : une logique contractuelle identifiable, une fonction administrative encore utilisable par l'ancienne voie de contrôle, un whitehat prêt à coordonner et suffisamment de valeur restante sur la blockchain pour que l'effort en vaille la peine.
Le détail pratique est la propriété et la permission. L'ancienne fonction pouvait modifier les soldes, mais seule la voie de gestion pouvait l'appeler.
Cela donne à la récupération sa limite éthique et opérationnelle : une recherche externe a trouvé la voie, les signataires originaux l'ont exécutée, et la voie de réclamation s'est rouverte pour les investisseurs.
[
Articles connexes
Aave alerte que la récupération de l'exploit de 71 millions de dollars pourrait être saisie avant que les victimes ne soient remboursées
Le litige pourrait décider si les fonds de récupération DeFi reviennent d'abord aux utilisateurs ou deviennent des cibles pour les créanciers extérieurs.
5 mai 2026 · Gino Matos
Les mêmes faits rendent aussi le cas difficile à généraliser. Beaucoup de contrats inactifs manquent d'une clé de contrôle active, d'un ensemble clair de demandeurs ou d'une trace publique qui rende plausible une récupération responsable.
Cette limite réduit également la tentation de considérer l'épisode comme un modèle d'exploitation général. Le mécanisme technique explique pourquoi la porte de remboursement s'est rouverte, mais la conséquence de l'histoire provient de la combinaison d'un code ancien, de permissions vivantes et d'un règlement public.
Une archéologie similaire devient plus risquée lorsqu'un contrat manque de l'un de ces éléments, car la découverte peut exposer une faiblesse avant qu'elle ne crée une voie de récupération utilisable.
Ethereum conserve l'erreur et le remède
La chronologie plus large d'Ethereum fait de la récupération de HongCoin plus qu'une curiosité. Une analyse de 2025 citant Conor Grogan de Coinbase estimait à plus de 913 111 ETH perdus à jamais, présentée comme une estimation prudente incluant les erreurs liées aux utilisateurs et aux contrats.
Cette catégorie comprend les fonds envoyés à des adresses de destruction, les bugs de contrats et les incidents historiques majeurs.
Certaines des premières étapes les plus marquantes d'Ethereum ont aussi été des débats sur la récupération. En 2016, le hard fork DAO a transféré environ 12 millions d'ETH des contrats liés à DAO vers un contrat de récupération après la crise de gouvernance déterminante du réseau.
En 2017, l'incident de destruction de la bibliothèque multisig de Parity Technologies a bloqué 513 774,16 ETH dans 587 portefeuilles.
Ces épisodes étaient plus grands et politiquement plus lourds que HongCoin. Ils aident encore à comprendre pourquoi cette petite récupération résonne.
La promesse d'Ethereum selon laquelle le code et l'état persistent est une propriété de sécurité et un système de mémoire. Elle conserve les erreurs, les hypothèses à moitié oubliées, les anciennes permissions et le remède occasionnel dont la pertinence future était invisible au moment du déploiement.
[
Articles connexes
L'argent de secours restant de TheDAO est resté bloqué pendant dix ans, il devient désormais le budget permanent de sécurité d'Ethereum de 220 millions de dollars
Les vétérans veulent staker 69 420 ETH provenant des fonds de récupération de 2016 restants, générant des millions chaque année pour la sécurité des contrats intelligents.
30 janvier 2026 · Gino Matos
Cette longue mémoire cohabite désormais avec une culture de sécurité en pleine maturation. En janvier, des vétérans d'Ethereum ont annoncé des plans pour convertir environ 75 000 ETH des fonds restants de récupération de TheDAO en une dotation stakée pour la sécurité d'Ethereum.
Le cas de HongCoin fonctionne à une échelle beaucoup plus réduite, mais pointe vers la même postérité des premières décisions d'Ethereum.
Le prochain test est la récupérabilité : savoir si d'autres anciens contrats contiennent des voies pouvant être utilisées de manière responsable. Une récupération par un white-hat demande plus qu'un simple bug. Il faut une voie de contrôle légitime, des preuves publiques sur la blockchain, une divulgation prudente et un moyen d'éviter de transformer l'archéologie contractuelle en manuel d'attaques opportunistes.
HongCoin montre que certains fonds bloqués peuvent rester suspendus dans une logique ancienne, attendant que quelqu'un comprenne à la fois la faille et la structure de permission qui l'entoure. C'est un résultat encourageant pour les 48 investisseurs désormais éligibles à réclamer.
C'est aussi un avertissement pour le reste de l'écosystème : Ethereum garde en mémoire le mauvais code, et parfois elle garde aussi en mémoire la voie de sortie.
La publication L'ICO Ethereum ratée de 2016 vient de débloquer 1 003 ETH en exploitant elle-même est apparue en premier sur CryptoSlate.