분산형 감사 플랫폼 Code4rena가 알고리즘 스테이블코인 플랫폼 DittoETH의 향후 패치에서 취약점을 발견했다. 이 취약점은 다량의 토큰을 예치한 사용자가 과도한 이익을 올릴 수 있게 하여 프로토콜의 부실 채무를 증가시키고 궁극적으로 생존 가능성을 위협할 수 있는 위험을 내포하고 있었다. 해당 취약점은 실제 프로덕션 버전인 DittoETH에 적용되지 않을 것이며, 이는 새로운 테스트 버전에서 수정되었기 때문이다.

Code4rena의 일원인 Block은 X에서 이 발견 사실을 보고했다. Code4rena는 크라우드 소싱 방식으로 운영되는 감사 플랫폼으로, 참가자들은 스폰서, 경비원, 심사위원으로 나뉜다. 스폰서는 취약점 발견에 대한 보상을 제공하는 웹3 프로토콜로, 경비원은 보상금을 위해 취약점을 찾기 위해 경쟁하고, 심사위원은 스폰서와 경비원 간의 분쟁을 중재한다.

이 플랫폼은 '버그 카운티' 대회를 개최하지 않으며, 단순히 가장 큰 취약점을 가장 빨리 찾는 경쟁을 지양하고 있음을 명시했다. Code4rena는 “노력한 모든 사람이 유효한 취약점을 발견하면 보상을 받는다”고 주장했다. Block에 따르면, 이번 취약점은 Code4rena의 경비원인 Aaaaa(일본어로 아아아아아)가 발견했다. 초기에는 DittoETH 팀에서 해당 취약점이 사실이 아닐 것이라는 주장을 했지만, Aaaaa가 추가 증거를 제시하자 그 주장을 철회했다.

이번 취약점은 DittoETH의 yDUSD 금고에서 스테이블코인 보상을 분배하는 메커니즘에 결함이 있다는 것을 확인했다. 사용자는 프로토콜의 기본 스테이블코인인 dUSD를 이 금고에 추가하여 수익을 얻을 수 있으며, 이 수익은 실제 토큰 가격이 오라클 제공 가격과 일치하지 않을 때 발생하는 ‘할인 수수료’에서 유래한다. 이 시스템은 시장 스트레스 시 유동성 공급자가 유동성을 추가하도록 유도하는 것을 목표로 한다.

하지만 할인 수수료라는 이름에도 불구하고, 이를 지급하는 것은 실제로 누구도 하지 않으며 대신 신규 민트된 토큰이 yDUSD 금고에 지급된다. 이 과정에서 프로토콜의 부채도 이에 비례해 증가한다. Aaaaa는 "matchIsDiscounted" 함수의 수학적 결함이 소량의 거래량으로도 대규모 부채를 생성할 수 있다는 점을 확인했고, 이는 프로토콜의 의도한 설계와 상충하는 것이다.

Block의 보고서에 따르면, "6-9단계는 할인 수량이 총 부채의 특정 임계값을 초과할 때만 발생하며, 이때 새로운 부채는 시스템 전체의 부채를 기준으로 만들어진다"라고 명시했다. 이는 소량의 할인 거래가 비례적으로 큰 부채 생성과 토큰 민트로 이어질 수 있음을 나타낸다.

Aaaaa는 7월 15일 프로젝트의 GitHub에 이 공격을 설명하는 글을 게시하였다. 그 과정에서 DittoETH의 팀원들과 심사위원들은 처음에 공격자가 '희석'되는 다른 사용자들이 풀에 합류할 경우 이익을 만들 수 없을 것이라고 주장했다. 그러나 Aaaaa는 "[d]입금이 주식당 청구할 수 있는 자산에 영향을 미치지 않는다"라고 반박했다. Aaaaa는 또한 Foundry에서 공격을 시뮬레이션한 테스트 코드를 작성하고, 팀원들에게 자신의 장치에서 이 테스트를 실행해 볼 것을 권장했다. 이 테스트는 공격자가 20,454.54달러의 이익을 올리며, 그에 상응하는 새로운 부채가 생성되는 것을 시뮬레이션하여 보여주었다.

이러한 테스트 결과는 향후 더 큰 이익을 위해 반복될 수 있는 여지가 존재한다. 7월 12일, 심사위원 Hans Friesse는 제출물을 "만족스럽다"고 평가하며 Aaaaa가 보상을 받을 수 있도록 승인했다. DittoETH 팀도 그들의 이의를 철회하며 감사를 표했다.

이번 감사는 프로토콜