Un hacker éthique débloque 1 003 ETH d'une ICO de 2016

Un white hat à la rescousse. Un hacker éthique a récemment exhumé un smart contract défectueux datant de 2016, lié à l’ICO (Initial Coin Offering, levée de fonds en cryptomonnaie) du projet Hong Coin. La faille était béante : n’importe qui pouvait vider les caisses. Plutôt que de céder à la tentation, le hacker a choisi de sécuriser les fonds pour les rendre à leurs propriétaires.

Hong Coin, dans le viseur d’un white hat !

Hong Coin est un projet d’Initial Coin Offering (ICO) lancé en août 2016 sur Ethereum. Présenté comme un fonds d’investissement décentralisé et communautaire, il visait à créer un venture capital géré par ses investisseurs via une organisation autonome (DAO).

L’ICO n’ayant pas atteint son objectif de financement, les fonds collectés auraient dû être automatiquement remboursés. Mais un bug dans le smart contract a bloqué près de 1 003 ETH pendant près de dix ans.

Un white hat (ou hacker éthique), c’est à dire, l’exact opposé du pirate informatique traditionnel à décidé de s’occuper de l’affaire. Ainsi, au lieu d’exploiter les failles pour voler, il les identifie, les teste légalement et les signale afin de protéger les utilisateurs. Dans l’univers crypto, ces « chevaliers blancs » choisissent souvent la transparence et la restitution plutôt que le profit personnel.

Une faille dans le smart contract de Hong Coin

Le contrat, déployé en 2016 pour l’ICO de Hong Coin, embarquait une fonction d’administration jamais configurée correctement. Conséquence directe : n’importe quel acteur capable d’identifier la vulnérabilité pouvait modifier les soldes des comptes, voire transférer l’intégralité des fonds vers une adresse externe de son choix.

C’est précisément ce qu’a fait notre hacker éthique, mais avec une intention diamétralement opposée. En exploitant la faille en collaboration avec l’équipe du projet, il a permis de débloquer environ 1 003 ETH pour les restituer aux investisseurs d’origine via le mécanisme de refund.

La DeFi et son univers impitoyable

Dans un message publié sur X, le white hat a détaillé sa démarche et proposé un protocole de restitution. Les investisseurs souhaitant récupérer leurs fonds doivent fournir des preuves de leur participation à l’ICO lancée en août 2016. Procédure classique de KYC inversé, en somme : ce n’est pas la plateforme qui vérifie l’utilisateur, mais l’utilisateur qui doit prouver son antériorité pour récupérer son dû.

« Première faille de sécurité découverte par un hacker éthique sur Ethereum : j’ai débloqué 1 003,62 Ξ (2 000 000 $) bloqués dans un contrat intelligent d’une ICO de 2016 depuis 9 ans. Les 48 investisseurs initiaux peuvent désormais récupérer leurs fonds. »

L’épisode rappelle au passage une vérité technique élémentaire : un smart contract est immuable une fois déployé, mais ses failles, elles, restent bien vivantes. Dix ans après le mint initial, le code de Hong Coin attendait toujours son audit. Heureusement, c’est un white hat qui l’a trouvé en premier.