CVE-2018-12025 in FuturXE
要約
〜によって VulDB • 2026年06月10日
FuturXE（FXE）という Ethereum ERC20トークンのスマートコントラクト実装における `transferFrom` 関数には、論理エラーが存在します。これにより攻撃者はデジタル資産の不正な転送を完了できます。開発者がブール値の評価処理で誤りを犯しており、「入力値が許可された値以下である場合」に実行を停止して false を返すようになっています。これは意味を成しません。本来 `transferFrom()` 関数は、最初に転送する値が許可された値を超えないことを要求すべきです。仮にこの関数が「許可された値が入力値より小さいこと」を要求するとしたら、攻撃者は簡単に承認制限を回避できます：この条件の直後で `allowed[from][msg.sender] -= value;` が実行されると、許可残高が転送値よりも小さくなるためアンダーフローが発生します。攻撃者は任意のアカウントから指定されたアカウント（`_to` アドレス）へ FuturXe トークンの任意の量を転送できます。これは、承認値が 0 に初期化されており、被害者の秘密鍵なしでもこの制限をバイパスできるためです。
If you want to get best quality of vulnerability data, you may have to visit VulDB.