LONDON (IT BOLTWISE) – Ein White-Hat-Hacker hat nach fast einem Jahrzehnt einen defekten Smart Contract aus einem 2016 gestarteten ICO reparationsnah „entblockt“ und rund 2 Millionen US-Dollar in Ether für Investoren wieder freigelegt. Der Fall betrifft den Hong Coin (HONG) ICO, bei dem Gelder aufgrund eines Bugs in der Refund-Logik stecken geblieben waren. Laut Bericht gelang die Rückholung über eine Admin-Funktion mit Integer-Overflow-Eigenschaften, die den Refund-Check erneut anstoßen konnte. Der Vorfall zeigt, wie anfällig frühe ICO-Implementierungen für kleine Logikfehler waren und wie wichtig heute formales Testing und On-Chain Security Audits sind.
Fast zehn Jahre nach dem Start eines ICO taucht eine klassische Sicherheitsgeschichte wieder auf: Ein pseudonymer White-Hat-Hacker hat Ether im Gegenwert von rund 2 Millionen US-Dollar aus einem fehlerhaften Smart Contract zurückgeholt. Im Zentrum steht der Hong Coin (HONG) ICO, der 2016 als dezentraler Venture-Capital-Ansatz beworben wurde, aber nie in den produktiven Betrieb ging, weil das Funding-Ziel nicht erreicht wurde. Normalerweise hätten die Investoren automatisch zurückerstattet werden sollen. Stattdessen griff eine Bug in der Refund-Funktion nicht korrekt, wodurch Gelder dauerhaft im Vertrag verblieben. Dass die Rückholung dennoch möglich war, unterstreicht sowohl den technischen Tiefgang als auch die praktische Bedeutung von Schwachstellenmanagement im Ethereum-Ökosystem.
Der Ablauf beginnt mit einem konkreten On-Chain-Problem: In der Refund-Logik fehlte offenbar die saubere Behandlung eines Randfalls, und die automatische Rückzahlung blieb damit still „hängengeblieben“. Der White-Hat, bekannt unter dem Namen 0xflorent, berichtet, er habe etwa 1.003 Ether aus dem Vertrag an 48 beteiligte Investoren zurückführen können. Basis dafür sind Transaktionen, die über den Ethereum-Blockexplorer Etherscan nachvollziehbar sind. Auffällig ist, dass bereits einzelne Refunds ausgeführt wurden: Ein Investor erhielt laut Daten 96 Ether, während bei einem weiteren Empfänger zumindest 0,5 Ether zurückgespielt wurden. Das Muster deutet darauf hin, dass die fehlerhafte Admin-/Refund-Kombination nicht vollständig blockiert war, aber eine Voraussetzung auf Vertragsebene nie sauber erfüllt wurde.
Technisch ist dabei vor allem die Admin-Funktion relevant, die bei der Reparatur indirekt „überlistet“ wurde. 0xflorent beschreibt den Ausweg als Integer-Overflow-Vulnerabilität: Durch das Aufrufen der Funktion mit einem gezielt konstruierten Input lasse sich der Kontostand eines Token-Inhabers zurücksetzen. Damit werde eine interne Bedingung wieder so gesetzt, dass die nachgelagerte Refund-Prüfung erneut anspringen kann. Historisch sind Integer-Overflows in Solidity-Implementierungen vor allem aus der Zeit vor strikten Schutzmechanismen oder vor klarer Verwendung sicherer Rechenroutinen bekannt. In modernen Codebasen werden solche Fehler durch neuere Compiler-Standards, Guards und häufig auch durch formale Verifikation reduziert, doch gerade bei älteren ICOs zeigt sich, wie lange Altlasten auf der Kette wirken können.
Auch die Story rund um die Token-Verteilung liefert Kontext für die Fehlerfolgen. Die ICO-Phase lief vom 29. August 2016 bis zum 28. Oktober 2016, und die Investoren sollten bei erfolgreichem Funding 250 Millionen HONG-Token erhalten, verteilt über fünf Stufen. Da das Funding-Ziel verfehlt wurde, hätte das System stattdessen refundieren müssen. Genau hier liegt die operative Schwierigkeit: Smart Contracts sind nach ihrer Bereitstellung in der Regel deterministisch, und wenn die Refund-Funktion nicht korrekt implementiert ist, lässt sich der Ausgang nicht „von außen“ im klassischen Sinne korrigieren. Der Fall illustriert damit auch, warum sich viele Teams damals stark auf automatisierte Rückläufe verließen: Es sollte Vertrauen ersetzt werden durch Code. Wenn der Code jedoch einen unbemerkten Randfall nicht abdeckt, wird Vertrauen zu einer dauerhaft „eingefrorenen“ Vermögensposition.
In der Marktperspektive ist der Vorfall weniger eine Einzelfallkuriosität, sondern ein weiteres Beispiel für die Bedeutung von On-Chain-Forensik und proaktiven Security-Services im Kryptowährungsbereich. Anbieter wie CertiK oder Trail of Bits stehen in dieser Landschaft für Audits, die speziell auf Logikfehler, Berechnungsgrenzen und Angriffsflächen in Smart-Contract-Komponenten abzielen. Der HONG-Fall zeigt zwar keine direkte „Attacke“ im Sinne von Diebstahl, aber eine ähnliche Mechanik: Eine verwundbare Funktion kann von versierten Parteien genutzt werden, um Zustandsbedingungen zu beeinflussen. Branchenexperten fassen das oft so zusammen: Selbst wenn ein Projekt „Refund“ verspricht, ist Sicherheit nur so gut wie die exakten Zustandsübergänge im Code. Genau diese Übergänge müssen heute als erstes geprüft werden.
Aus Expertensicht lohnt sich zudem der Blick auf den Zeitfaktor. Während 0xflorent den Weg zur Extraktion der Gelder über die Admin-Funktion beschreibt, macht der Fall deutlich, dass solche Rückholungen in der Praxis häufig erst dann möglich sind, wenn jemand die exakten Parameter für die Ausnutzung rekonstruiert. Das bedeutet: Investoren sind nicht nur vom ursprünglichen Entwicklerteam abhängig, sondern auch von der Existenz von kompetenten Security-Researchern, die die Logik analysieren und in Abstimmung mit Projektverantwortlichen oder zumindest mit dem Vertragsumfeld arbeiten können. Wie in Gesprächen mit Analysten der Krypto-Sicherheitsbranche immer wieder betont wird, ist „Bug-Finding“ nur die halbe Miete—entscheidend ist, ob es einen sicheren und nachweisbaren Pfad zur Zustandskorrektur gibt, ohne weitere Schäden zu erzeugen.
Regulatorisch und datenschutzrechtlich berührt der Fall ein typisches Spannungsfeld: Auf der einen Seite sind die Transaktionen öffentlich nachvollziehbar, wodurch Transparenz möglich wird. Auf der anderen Seite bleiben Zuordnungen zu Personen oder Organisationen oft unklar, weil Wallets häufig pseudonym betrieben werden. Für Unternehmen im Finanz- und Zahlungsumfeld bedeutet das: Selbst wenn keine sensiblen Inhalte im Vertrag selbst gespeichert sind, müssen Prozesse für Compliance und Risikoprüfung berücksichtigen, dass Vermögen in Smart Contracts „stecken bleiben“ und später wieder freigeschaltet werden kann. In der Praxis hilft hier eine Kombination aus technischer Ereignisüberwachung, präziser Wallet-/Contract-Interessenanalyse und einem klaren Incident-Response-Rahmen, der auch nachgelagerte Maßnahmen wie Sanktionsscreening oder Herkunftsprüfung umfasst.
Historisch betrachtet steht der HONG-Fall exemplarisch für die damalige ICO-Ära, in der Geschwindigkeit oft höher gewichtet wurde als langfristige Robustheit. Viele Projekte starteten mit modularen Smart Contracts, aber die Fehleranalyse und Code-Härtung waren nicht immer auf dem Niveau, das man heute von Enterprise-nahen Entwicklungsprozessen erwartet. Seitdem haben sich Praktiken wie standardisierte Sicherheitsbibliotheken, automatisierte Fuzz-Tests und strukturierte Deployment-Pipelines weiter verbreitet. Dennoch bleibt die Herausforderung bestehen: Korrekturen nach dem Deploy sind nicht trivial, insbesondere bei Contracts ohne Upgrade-Mechanismus. Der HONG-Fall zeigt also auch eine Art „historische Lektion“: Wer Refunds oder kritische Zustandswechsel automatisiert, braucht besonders konservative Tests und deterministische Verifikationsschritte.
Für die nächste Entwicklungs- und Marktwelle ergibt sich daraus eine klare Konsequenz: Teams sollten Refund- und Admin-Funktionen als besonders risikoexponierte Bereiche behandeln. Technisch ist der Vergleich zu modernen Cloud- und Enterprise-Software-Patterns nützlich: So wie dort Fail-Safes, Observability und klare Rollback-Strategien in Produktionssysteme integriert werden, muss im On-Chain-Kontext jede Zustandsänderung nachvollziehbar abgesichert sein. Konkret heißt das, Integer-Overflow-Szenarien strikt auszuschließen, Eingabevalidierung hart zu machen und Refund-Checks nicht indirekt von fragilen Zuständen abhängig zu machen. Für Entwickler entsteht zudem eine Chance: Security-Researcher können anhand solcher Fälle bessere Test-Suites ableiten, die besonders alte Vertragslogiken abdecken, bevor sie im Mainnet Schaden anrichten.
Wie könnte es weitergehen? Selbst wenn 0xflorent bereits einen Großteil der Rückführung angestoßen hat, bleibt das zentrale Risiko: Die vollständige Auszahlung ist von der genauen Vertragslage und den verfügbaren Zustandsübergängen abhängig. Der Fall legt deshalb nahe, dass zukünftige Projekte strikter in Richtung „recoverable by design“ denken sollten—also so bauen, dass im Fehlerfall der Systemzustand kontrolliert und transparent wiederhergestellt werden kann, ohne dass externe Akteure die Logik „reparieren“ müssen. Für den Markt bedeutet das außerdem: Audits allein reichen nicht, wenn sie nicht in Monitoring, Incident-Response und transparent dokumentierte Sicherheitsannahmen eingebettet werden. Der HONG-Fall ist damit zugleich Warnsignal und Bestätigung dafür, dass On-Chain-Sicherheit auch nach Jahren noch adressierbar ist—aber nur mit entsprechender Expertise.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "White-Hat-Hacker holt 2 Millionen US-Dollar aus defektem ICO-Smart-Contract zurück" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "White-Hat-Hacker holt 2 Millionen US-Dollar aus defektem ICO-Smart-Contract zurück" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »White-Hat-Hacker holt 2 Millionen US-Dollar aus defektem ICO-Smart-Contract zurück« bei Google Deutschland suchen, bei Bing oder Google News!