Curve DAO wählt yRisk als Risikobewerter trotz 9,6-Millionen-Dollar-Hack

Curve DAO hat am 2. September yRisk als neuen Risikobewerter für crvUSD und Llamalend genehmigt. Die Ernennung folgt auf den vorzeitigen Abgang des Vorgängers LlamaRisk, der seine Tätigkeit zehn Monate vor Ablauf einer einjährigen Verlängerung beendete. Auffällig: Die beiden Personen hinter yRisk sind auch Kernentwickler von Resupply, einem Protokoll, das im Juni 2025 von einem Angriff getroffen wurde, bei dem 9,6 Millionen Dollar verloren gingen. Diese Information fehlt in dem genehmigten Vorschlag.

Das Wichtigste in Kürze:

• Curve DAO stimmt yRisk als Risikobewerter für crvUSD und Llamalend zu, als Ersatz für LlamaRisk.
• yRisk erhält 125.000 frxUSD und 568.181 CRV über einjährige, widerrufliche Vesting-Streams.
• Die beiden yRisk-Entwickler sind auch bei Resupply involviert, das im Juni 2025 um 9,6 Millionen Dollar gehackt wurde; dies wird im Vorschlag nicht erwähnt.

yRisk ersetzt LlamaRisk nach Auswahlverfahren seit Juli

Das Auswahlverfahren für einen neuen Risikobewerter lief bereits seit Juli, nachdem LlamaRisk beschlossen hatte, seinen Auftrag früher als vereinbart zu beenden. Curve DAO entschied sich schließlich für yRisk, ein Team aus zwei Personen, das sich im Vorschlag selbst als „primäre Resupply-Entwickler“ und „Kernentwickler bei Yearn und Resupply, über ihre jeweiligen Unternehmen“ beschreibt.

Die Abstimmung verlief einseitig: yRisk erhielt rund 536,9 Millionen veCRV-Stimmen dafür und keine einzige dagegen. Als Vergütung erhält das Duo 125.000 frxUSD und 568.181 CRV über widerrufliche einjährige Vesting-Streams.

Hack von Resupply nicht im Vorschlag erwähnt

Resupply ist ein Stablecoin- und Leihprotokoll, das auf crvUSD und CurveLend aufbaut. Im Juni 2025 wurde das Protokoll von einem sogenannten Donation-Angriff getroffen, bei dem ein Angreifer den Wechselkurs einer Vault auf null abrundete und so 9,6 Millionen Dollar abziehen konnte.

Dieser Exploit wurde von yRisk in dem Vorschlag, über den Curve DAO abstimmte, nicht erwähnt. Auch Curves eigener Vergleich der Kandidaten machte keine Angaben dazu. Kritiker weisen darauf hin, dass gerade ein Risikobewerter vollständige Transparenz über frühere Sicherheitsvorfälle bei Projekten bieten sollte, an denen seine Mitarbeiter beteiligt sind.