Klever-Go — это реализация протокола блокчейна Klever на Go. До версии 1.7.19 процессPercentageRoyaltiesTransfer в core/kapp/accounts/accounts.go вызывает SubFromBalance после цикла разделения и после раннего возврата royaltiesToPay <= 0. ComputeSplitRoyalties отклоняет только тогда, когда SplitToPay > royaltiesToPay, поэтому допустимое разделение PercentTransferPercentage = 10000 потребляет ровно 100 процентов пула роялти, устанавливает royaliesToPay равным нулю и возвращается до списания средств с исходного счета. Разделенный получатель получает полную сумму роялти, в то время как отправитель ничего не платит, а счетчик поставок не обновляется, что позволяет неограниченное неофициальное увеличение переданного KDA.
Владелец KDA должен настроить роялти TransferPercentage со 100-процентным разделением, после чего передача актива любым держателем запускает монетный двор; путь родственного процессаFixedRoyaltiesTransfer не затрагивается, поскольку он дебетует источник перед распространением. Эта проблема исправлена в версии 1.7.19.
Показать оригинальное описание (EN)
Klever-Go is the Go implementation of the Klever blockchain protocol. Prior to 1.7.19, processPercentageRoyaltiesTransfer in core/kapp/accounts/accounts.go calls SubFromBalance after the split loop and after the royaltiesToPay <= 0 early return. computeSplitRoyalties rejects only when splitToPay > royaltiesToPay, so a valid PercentTransferPercentage = 10000 split consumes exactly 100 percent of the royalty pool, sets royaltiesToPay to zero, and returns before the source account is debited. The split recipient receives the full royaltyAmount while the sender pays nothing and the supply counter is not updated, allowing unbounded off-the-books inflation of the transferred KDA. A KDA owner must configure a TransferPercentage royalty with a 100 percent split, after which any holder's transfer of the asset triggers the mint; the sibling processFixedRoyaltiesTransfer path is not affected because it debits the source before distribution. This issue is fixed in version 1.7.19.
Характеристики атаки
Последствия
Строка CVSS v4.0