Neun Jahre gesperrt: White-Hat-Hack befreit über 1.000 ETH aus defektem Smart Contract

Rund 1.003 Ether waren mehr als neun Jahre in einem fehlerhaften Smart Contract eingesperrt. Jetzt hat ein unabhängiger Researcher den Fehler gefunden und die Rückzahlung ermöglicht.

Ein vergessener Fehler aus dem Jahr 2016

Der HongCoin-ICO-Contract ging im August 2016 live, wenige Monate nach dem Start von Ethereum. 48 Investoren zahlten insgesamt rund 1.003 ETH ein, heute etwa zwei Millionen Dollar wert. Doch ein sogenannter Integer Overflow im Code blockierte den eingebauten Rückzahlungsmechanismus vollständig.

Was ist ein Integer Overflow? Ein Rechenfehler, bei dem eine Zahl den maximal speicherbaren Wert überschreitet und dadurch auf null oder einen falschen Wert zurückspringt. In Smart Contracts kann das ganze Funktionen lahmlegen.

Die Gelder lagen sichtbar auf der Blockchain, waren aber für niemanden zugänglich. Der Fehler gehört zu einer Kategorie, die in frühen Solidity-Versionen verbreitet war. Erst ab Version 0.8.0, veröffentlicht im Dezember 2020, schützt die Programmiersprache automatisch vor solchen Überläufen. Contracts aus den Anfangsjahren bleiben davon unberührt, sofern sie nicht aktualisiert wurden.

Koordinierter Zugriff statt Ausnutzung

Security-Researcher 0xFlorent_ identifizierte die Schwachstelle und testete einen Exploit zunächst in einer lokalen Umgebung. Statt die Lücke auszunutzen, teilte er die Methodik vertraulich mit dem HongCoin-Team.

Was ist ein White-Hat-Exploit? Ein gezieltes Ausnutzen einer Sicherheitslücke durch einen Forscher, der die Schwachstelle nicht zu eigenem Vorteil nutzt, sondern den Betroffenen meldet und bei der Behebung hilft.

Zwischen dem 26. und 30. Mai führte das Projekt laut Crypto Briefing daraufhin 41 Transaktionen durch, um den ursprünglichen Refund-Mechanismus des bestehenden Contracts wiederherzustellen. Es wurden keine neuen Contracts eingesetzt und keine Mittelsmänner eingeschaltet. Am 31. Mai, dem Tag der öffentlichen Offenlegung, hatten Investoren bereits rund 96 ETH abgerufen. Etwa 907 ETH verblieben noch im Contract. Der Forscher bezeichnet die Aktion als ersten White-Hat-Exploit dieser Art in der Geschichte von Ethereum. Ein öffentliches Statement des HongCoin-Teams zu einer möglichen Belohnung für den Researcher lag zum Zeitpunkt der Veröffentlichung nicht vor.

Warum das jetzt zählt

Der Fall illustriert ein strukturelles Problem: Hunderte alter Smart Contracts, geschrieben vor der Einführung automatischer Sicherheitsmechanismen, liegen weiterhin auf der Blockchain. Viele davon verwalten Gelder, ohne dass ihre Schwachstellen jemals systematisch untersucht wurden. Dass ein einzelner Researcher nach neun Jahren eine Lösung findet, zeigt zugleich die Stärke und die Schwäche des Systems. Die Transparenz der Blockchain macht solche Entdeckungen möglich. Doch sie setzt voraus, dass kompetente Akteure die Arbeit auf sich nehmen – und dass sie sich für den verantwortungsvollen Weg entscheiden.

Einordnung und Ausblick

Der HongCoin-Fall verlief glimpflich, weil ein Forscher kooperierte statt zu profitieren. Für das breitere Ethereum-Ökosystem bleibt die Frage offen, wie viele vergleichbare Contracts mit eingefrorenen oder gefährdeten Geldern existieren. Solange es keine systematische Prüfung älterer Contracts gibt, hängt die Sicherheit solcher Altlasten vom Zufall ab. Umgekehrt könnte der Fall als Vorbild dienen und weitere Sicherheitsforscher motivieren, alte Contracts gezielt zu untersuchen. Für die betroffenen 48 Investoren hingegen endet eine ungewöhnlich lange Wartezeit.