Araştırmacı, 9 yıllık bir güvenlik açığını giderdi ve 2016'daki ICO'dan beri kilitli kalan 2 milyon dolarlık Ethereum'u serbest bıraktı

Asla Geri Ödeme Yapılmayan 2016 ICO'su

Fonlar, topluluk tarafından yönetilen merkezi olmayan bir yatırım fonu olarak tanıtılan 2016 tarihli Ethereum tabanlı bir proje olan ve "The HONG" olarak da anılan Hongcoin'den geliyordu. ICO, fonlama hedefine ulaşamadı; bu durum, katkıda bulunanlara otomatik bir geri ödeme yapılmasını gerektirirdi.
Ancak işler bu şekilde yürümedi.

Geri ödeme mantığındaki bir hata, çoğu yatırımcının ETH'lerini talep etmesini engelledi. Sözleşme, her yatırımcının token bakiyesini genel bir sayaçla karşılaştırıyordu. Yıllar boyunca yapılan kısmi geri ödemeler bu sayacı 356'ya düşürmüş ve herhangi bir ek geri ödemeyi her bir yatırımcı için sadece 3,56 ETH ile sınırlamıştı. Kalan 48 yatırımcının çoğu, bundan çok daha fazlasına sahipti. Fonları kilitli kaldı.

Sözleşme adresi, 0x9fa8fa61a10ff892e4ebceb7f4e0fc684c2ce0a9, Etherscan'da doğrulanabilir durumda.

Sorunu Çözen Güvenlik Açığı

0xflorent, Hongcoin ekibinin çoklu imza cüzdanına bağlı, yalnızca yöneticilerin kullanabildiği bir işlevde bir tamsayı taşma güvenlik açığı tespit etti. Bu işlev, başlangıçta ödül tokenleri basmak için tasarlanmıştı ancak taşma koruması yoktu; bu, 2016 tarihli SafeMath öncesi Solidity kodlarında yaygın bir zayıflıktır.

Belirli bir giriş değeri girildiğinde, işlev bir yatırımcının token bakiyesini 1'e sıfırlayabilir, geri ödeme kontrolünü atlayabilir ve sözleşmenin ilgili ETH'yi serbest bırakmasına izin verebilirdi.

Florent bunu "Ethereum'daki ilk beyaz şapkalı istismar" olarak tanımladı ve dışarıdan hiçbir saldırganın bunu kullanmak için bir nedeni olmadığını belirtti. Fonlar yalnızca orijinal katkıda bulunanlara geri akabilirdi. Mülkiyet devri veya hırsızlık vektörü söz konusu değildi.

Kurtarma Süreci

Florent, e-posta yoluyla aktif olmayan Hongcoin ekibiyle özel olarak iletişime geçti. Zincir üzerinde herhangi bir işlem yapmadan önce, Ethereum ana ağının yerel bir Foundry fork'unda tam kilit açma dizisini doğruladı. Ekibin çoklu imzalı cüzdanı daha sonra, bakiye sıfırlaması gereken her engellenmiş hesap sahibi için birer tane olmak üzere toplam 41 işlemi imzaladı. Daha düşük bakiyeli yedi hesap sahibi, geçici çözüm kullanmadan doğrudan geri ödeme talep edebildi.

Tüm süreç yaklaşık bir hafta sürdü.

1 Haziran 2026 itibarıyla 1.003,62 ETH'nin tamamı çözülmüştü. İki yatırımcı, toplamda yaklaşık 193.000 dolar değerinde 96,5 ETH'yi talep etti. Florent'e gönüllü bir ödül gönderdiler. O ise hiçbir ücret, pay veya komisyon almadı.
Diğer yatırımcıların talep edebileceği yaklaşık 882 ETH kaldı.

Whitehat Çalışmalarının Bir Örneği

Bu, Florent'in sekiz gün içinde kamuoyuna duyurduğu ikinci kurtarma operasyonuydu. 24 Mayıs'ta, 2018 tarihli bir ICO sözleşmesinden ve artık kullanılmayan bir cüzdana bağlı süresi dolmuş atomik takaslardan 19,329 ETH (yaklaşık 40.590 dolar) iade etti.

Florent, 100 ETH'den fazla tutan sözleşmeleri bulmak için kendi barındırdığı bir düğüm de dahil olmak üzere özel tarama araçları kullanıyor. O, birçok eski sözleşmenin birbirinin çatalı olduğunu, yani güvenlik açıklarının genellikle kümelendiğini belirtti. Ayrıca, analizi hızlandırmak için Claude Code'u kullandığını da belirtti, ancak bu aracın kırılamaz olarak işaretlediği sözleşmeler konusunda aşırı karamsar olabileceği konusunda uyarıda bulundu.

Bunun Erken Dönem Ethereum Sahipleri İçin Anlamı

2016 ve 2017 ICO patlaması döneminden kalma yüzlerce Ethereum akıllı sözleşmesi hâlâ kilitli fonlar barındırıyor. Katılımcıların çoğu bu bakiyeleri yıllar önce silmiş durumda.

Florent'in çalışması, bu sözleşmelerden bazılarının hâlâ bir kapısı olduğunu ve doğru araçlara sahip birinin bu anahtarı bulabileceğini hatırlatıyor.