Desarrollador whitehat libera 2 millones de dólares atrapados durante nueve años en un contrato ICO de Ethereum de 2016
0xflorent, un investigador de seguridad, encontró una falla de desbordamiento de enteros en el contrato de venta de tokens de HongCoin que permite al equipo desbloquear fondos para 48 inversores originales. Es la segunda recuperación de este tipo que ha divulgado en ocho días.
- Un investigador de seguridad conocido como 0xflorent ayudó al equipo detrás de una fallida ICO de HongCoin en 2016 a desbloquear aproximadamente 1,003.62 ETH, o alrededor de $2 millones, que habían estado atrapados en su contrato inteligente durante nueve años.
- Al coordinarse con los titulares de la cartera multisig de HongCoin, utilizó una falla de desbordamiento de enteros no corregida en una función administrativa para restablecer los saldos de los tokens y eludir un límite de reembolso defectuoso que había bloqueado retiros mayores.
- La recuperación, que hace que 48 inversores originales sean elegibles para reclamar fondos y sigue a otro rescate reciente realizado por 0xflorent, se produce en medio de una ola de importantes exploits en DeFi que han drenado cientos de millones de dólares de protocolos criptográficos.
Un investigador de seguridad conocido como 0xflorent colaboró con el equipo responsable de un contrato ICO de Ethereum de 2016 para desbloquear aproximadamente 2 millones de dólares en ether que habían estado atrapados durante nueve años, en una recuperación whitehat coordinada que explotó una falla de desbordamiento de enteros que los desarrolladores originales nunca corrigieron.
El contrato pertenece a HongCoin, una venta de tokens de 2016 que no alcanzó su objetivo de financiamiento y que debía reembolsar automáticamente el ether de los inversores pero no lo hizo debido a un error en la función de reembolso.
El camino de 0xflorent desbloqueó 1,003.62 ETH, con 48 inversores originales ahora elegibles para reclamar. Dos de ellos lo han hecho, recuperando un total combinado de 96.5 ETH valorados aproximadamente en $193,000, afirmó en un hilo de X el domingo.
First white-hat exploit on Ethereum: I unlocked 1,003.62
— 0xflorent.eth (@0xFlorent_) May 31, 2026
Ξ ($2,000,000) trapped in a 2016 ICO smart contract
for 9 years.
The 48 original investors can now claim their funds. pic.twitter.com/lyh5iyaDu7
La lógica de reembolso del contrato rechazó a cualquier titular cuyo saldo de tokens excediera un contador global que años de reembolsos parciales habían reducido hasta 356, limitando reembolsos adicionales a 3.56 ETH.
0xflorent descubrió que una función administrativa en el contrato, restringida a la billetera multisig de HongCoin, carecía de las protecciones contra desbordamiento de enteros que posteriormente fueron incorporadas al lenguaje de programación Solidity. Al invocar dicha función con un valor de entrada específico, se reiniciaba el saldo de un titular a uno, permitiendo que el cheque de reembolso fuera aprobado y liberando los fondos.
La recuperación no fue, sin embargo, una explotación unilateral. Dado que la función de administrador requería la multisig de HongCoin para ejecutarse, 0xflorent envió un correo electrónico al equipo, validó la secuencia de desbloqueo en una bifurcación de prueba de la mainnet de Ethereum, y el propio equipo firmó las transacciones de desbloqueo.
Firmó 41 transacciones, una por titular bloqueado, liberando los aproximadamente 1,000 ETH que realmente estaban atrapados. Otros siete titulares tenían saldos lo suficientemente pequeños como para reembolsar directamente sin la solución alternativa.
Es la segunda recuperación de este tipo que 0xflorent ha hecho pública en ocho días.
El 24 de mayo, dijo que él había devuelto 19.329 ETH, por un valor aproximado de $40,590, a sus propietarios originales, incluyendo 5.141 ETH de una ICO fallida de enero de 2018 y 14.190 ETH de siete intercambios atómicos expirados en una cuenta de usuario de Liquality Wallet que se volvió inaccesible tras el cierre de la cartera en 2024.
La recuperación ocurre durante un periodo intenso de exploits en DeFi, con tan solo en abril cientos de millones de dólares drenados a través de diversos protocolos, encabezados por un golpe aproximado de 293 millones de dólares a Kelp DAO.
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
Diversified RWA stablecoins sustain 5-7% yield from real credit as crypto funding compresses to ~4%. GENIUS pushes yield off-chain; TAM grows to $4B in 3 years.
Diversified RWA stablecoins sustain 5-7% yield from real credit as crypto funding compresses to ~4%. GENIUS pushes yield off-chain; TAM grows to $4B in 3 years.
Por qué es importante:
Diversified RWA stablecoins sustain 5-7% yield from real credit as crypto funding compresses to ~4%. GENIUS pushes yield off-chain; TAM grows to $4B in 3 years.
Coinbase afirma que los fondos de los usuarios están seguros después de que un proveedor externo expusiera la información de contacto de los clientes
Actualizaciones en vivo: Bitcoin sube ligeramente mientras el Nasdaq avanza un 1.2%
Los informes de errores en Solana ahora cuestan 1 SOL mientras la IA inunda a los equipos de seguridad con spam
Coinbase afirma que los fondos de los usuarios están seguros después de que un proveedor externo expusiera la información de contacto de los clientes
Bessent del Tesoro ve a las criptomonedas como la próxima herramienta de Estados Unidos para mantener el dólar estadounidense en la cima
