CVE-2018-12025 in FuturXE
요약
\~에 의해 VulDB • 2026. 05. 24.
FuturXE(FXE)라는 이더리움 ERC20 토큰의 스마트 계약 구현체에서 transferFrom 함수는 논리 오류로 인해 공격자가 디지털 자산의 무단 이체를 수행할 수 있게 합니다. 개발자가 부울(Boolean) 조건 판단을 잘못 처리하여, 입력 값이 허용된 값보다 작거나 같을 경우 transferFrom() 함수가 false를 반환하며 실행을 중단하도록 했습니다. 이는 논리적으로 맞지 않습니다. transferFrom() 함수는 본래 이체하려는 값이 허용된 값을 초과하지 않아야 합니다. 만약 이 함수가 허용된 값이 입력 값보다 작아야 한다고 요구한다면, 공격자는 허용 조건을 쉽게 우회할 수 있습니다. 해당 조건 이후 `allowed[from][msg.sender] -= value;` 연산에서 허용된 잔액이 이체 값보다 작기 때문에 오버플로우(underflow)가 발생하게 됩니다. 공격자는 allowed 값이 0으로 초기화된 점을 이용해 피해자의 개인 키 없이도 이 제한을 우회하여, 지정된 계정(_to 주소)으로 모든 계정의 FuturXE 토큰을 얼마든지 이체할 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.