CVE-2018-12025 in FuturXE
摘要
由 VulDB • 2026-05-31
FuturXE (FXE) 是一个以太坊 ERC20 代币，其智能合约实现中的 `transferFrom` 函数存在逻辑错误，允许攻击者未经授权地转移数字资产。开发者在布尔判断逻辑上出现失误：如果输入值小于或等于允许值，转账会话将通过返回 `false` 来停止执行。这不合逻辑，因为 `transferFrom()` 函数本应首先要求转账值不超过允许值。假设该函数要求允许值小于输入值，那么攻击者可以轻松绕过授权限制：在此条件之后，`allowed[from][msg.sender] -= value;` 会导致下溢，因为允许值小于转账值。由于允许值初始化为 0，攻击者可以将任何账户的任何数量的 FuturXE 代币转移到指定账户（`_to` 地址），即使没有受害者的私钥，攻击者也能绕过此限制。
If you want to get best quality of vulnerability data, you may have to visit VulDB.