失敗的 2016 以太坊 ICO：舊合約漏洞奇蹟取回 1,003 ETH

在區塊鏈的世界裡，合約一旦部署，錯誤便會像沉入湖底的石頭，被時間靜靜記憶。九年前，香港幣（HongCoin）在 2016 年的 ICO 募集中未能達成目標，投資者所投入的 ETH 被無情地鎖在一段失靈的退款邏輯中。那道看似無法跨越的牆，卻在九年後被一位自稱 0xFlorent 的白帽駭客，以一種近乎「在寧靜的水面上疊起的禪石」般柔和卻精準的手法，找到了一條回到投資者手中的通路。

HongCoin 當年被形容為「去中心化創投基金」，其代幣銷售在 2016 年 8 月 29 日至 10 月 28 日間進行，最終因未達募資門檻而失敗。按原始合約設計，投資者可以透過 refundMyIcoInvestment() 函式取回他們的 ETH。然而，這個函式的內部邏輯暗藏了一枚看不見的炸彈——它檢查呼叫者的代幣餘額是否大於全域的 tokensCreated，若條件成立則直接 revert。這意味著，當早期的退款交易逐步減少 tokensCreated 後，剩下的大型持有人的代幣餘額遠超過剩餘的 tokensCreated，使他們的退款請求被永遠擋下。

這種「餘額太大」的陷阱，其實源自於早期 Solidity（0.8.0 以前）的算術行為：溢位會預設迴圈繞回，而非丟擲錯誤。開發者若未自行檢查，運算結果會詭異地「包覆」回去，成為一條看不見的逃生路線。恰好在 HongCoin 合約裡，存在一個受限於多重簽名（multisig）的管理員函式 mgmtIssueBountyToken()，它能夠在 recipient 的代幣餘額及 bountyTokensCreated 上增加任意數量。雖然本意是發放獎勵，但因為在 old Solidity 中加入數值時同樣遵循「溢位迴圈」的特性，這段程式碼被 0xFlorent 逆向思考——他利用管理員函式的算術特性，將大型持有人的餘額人為降低，使他們的代幣餘額再度低於剩餘的 tokensCreated，讓退款檢查透過。

然而要實際呼叫 mgmtIssueBountyToken()，仍然需要原始的多重簽名路徑。也就是說，必須取得當年 HongCoin 管理的舊金鑰、湊齊足夠的簽名才能發起這 41 筆管理員交易。0xFlorent 與這些原始簽署人緊密協調，最終讓 48 位投資者重新獲得取回款的資格。其中 41 位須透過特殊的管理員手法處理，另外 7 位因持幣較少，可直接使用原有的 refundMyIcoInvestment()。整個過程不啻是一場「合約考古學」──在相同的不可變程式碼中，保留了當初的漏洞，也意外儲存了一條被遺忘的解圍之路。

恢復的成果相當可觀：在 2024 年的以太坊鏈上，以當日價格約 1,983 美元計算，1,003.62 ETH 約值 199 萬美元。這筆金額不僅是對當年投資人的補償，更是對整個以太坊生態的一記提醒——區塊鏈的特性使得「程式碼與狀態永存」既是安全屬性，也是一種記憶系統。它會把錯誤、把半遺忘的假設、甚至把偶爾浮現的補救方案，全部保留下來，等待未來的某個人去解讀。

若把目光從單一案件拉開，會發現類似「老合約」背後的 ETH 流失規模驚人。根據 2025 年的分析，因為錯誤傳送至燃燒地址、合約缺陷等狀況，已有超過 913,111 ETH 被認定為永久損失。歷史上的重大事件——例如 2016 年的 THE DAO 硬分叉，12 個月內將約 1200 萬 ETH 從被盜合約移至回收合約；2017 年 Parity 多重簽名庫的自毀，讓 513,774.16 ETH 被鎖在 587 個錢包中。這些例子都比 HongCoin 更大更具政治意味，但它們共同顯示了「區塊鏈記得所有」的事實。

也就是說，今天的開心收穫背後，同樣潛藏著警訊：如果沒有完整的金鑰管理、沒有可識別的 claimant 集合，或者缺失公開可追蹤痕跡，很多「沉睡」的老合約將永遠無法被喚醒。這並非呼籲去隨意嘗試破壞，而是提醒每一個區塊鏈參與者——尤其是早期參與者——要定期檢視自己錢包中的舊代幣與許可權，是否仍保持有效的控制路徑。白帽研究固然值得敬佩，但我們更應該在部署之時，就把「可恢復」與「可撤銷」的安全模型設計進去。

在這片以「湖面」與「疊石」描繪的圖景裡，HongCoin 的故事像是一塊被 時間磨平的岩石，意外長出了一株細小的綠芽。那株綠芽象徵著「修正」的力量，也提醒我們：錯誤從來不是終點，而是新生的起點。若你曾參與 2016 年的任何 ICO，或手上仍握有早期專案的代幣，現在正是檢查錢包、對照原始合約、或與專案方確認許可權的時刻。也許哪天，你的資產也能在平靜的區塊鏈湖面上，迎來屬於自己的日出。