Curio Voting-Power Mint

Am 23. März 2024 wurde das tokenisierte-RWA-Protokoll CurioDAO um etwa 16 Millionen US-Dollar ausgenutzt — geprägt als 1 Milliarde CGT (Curio Governance Token)-Tokens an den Angreifer. Die Schwachstelle lag in einem MakerDAO-Fork-Smart-Contract, der für die Stimmrecht-Verwaltung verantwortlich war; der Angreifer kaufte eine kleine CGT-Position, nutzte einen Bug, um sein Stimmrecht dramatisch zu verstärken, und nutzte das aufgeblähte Stimmrecht, um beliebige Vertragsaktionen einschließlich des bösartigen Mints zu stimmen.

Was geschah

CurioDAOs Governance war auf einem MakerDAO-abgeleiteten Smart Contract zur Verwaltung von Stimmrecht und Vorschlags-Ausführung aufgebaut. Der Fork hatte eine Schwachstelle darin geerbt, wie delegiertes Stimmrecht berechnet wurde: Unter spezifischen Aufrufsequenzen konnte ein kleiner CGT-Halter die Berechnung ausnutzen, um weit größeres Stimmrecht zu beanspruchen, als sein tatsächlicher CGT-Saldo.

Der Angriff:

1. Der Angreifer erwarb eine nominale Menge CGT durch normale Marktkäufe.
2. Nutzte die Stimmrecht-Berechnung aus, um sich selbst als Halter verstärkten Stimmrechts zu registrieren — effektiv eine Mehrheitsposition in der CurioDAO-Governance.
3. Mit Mehrheitsstimmrecht führte er beliebige Aktionen auf dem Curio-DAO-Vertrag aus — einschließlich eines Vorschlags, 1 Milliarde CGT-Tokens direkt an die Adresse des Angreifers zu prägen.
4. Der Mint wurde ausgeführt; der Angreifer hielt 1 Mrd. CGT im nominalen Wert von ~16 Mio. USD zu Vor-Angriffs-Marktpreisen.
5. Verkaufte das CGT durch DEX-Liquidität und extrahierte echten Wert, bevor der Markt die Verwässerung einpreiste.

Folgen

• CurioDAO pausierte betroffene Verträge und kündigte eine Recovery-Strategie an.
• Das Team launchte CGT 2.0 — einen neuen Token, der an legitime Vor-Angriffs-CGT-Halter ausgegeben wurde und effektiv das vom Angreifer geprägte Angebot annullierte.
• Ein White-Hat-Bounty-Programm wurde angekündigt, das 10% der zurückgewonnenen Mittel an jeden bot, der half, den Angreifer zu verfolgen.
• Gestohlene Mittel wurden über Standardkanäle gewaschen.

Warum es wichtig ist

Curio ist einer von mehreren Vorfällen, die das Vererbungsproblem des Forkens kampferprobter Governance-Systeme hervorheben. MakerDAOs Governance-Verträge wurden in der größten Skala jeder DAO deployt und getestet; ihr Verhalten bei MakerDAO ist gut verstanden. Forks, die die umgebende Token-Verteilungs- und Stimmgewichts-Logik modifizieren, ohne neu zu auditieren, erben jede zusammengesetzte Schwachstelle, die die Modifikationen einführen.

Das Muster wiederholt sich:

• Audius (Jul 2022) — wiederholbar aufrufbarer Initializer ließ Angreifer sich 10 Bio. AUDIO selbst delegieren.
• Beanstalk (Apr 2022) — flash-loan-erworbene Governance-Mehrheit.
• Curio (Mär 2024) — Bug in Stimmrecht-Berechnung verstärkte kleinen Saldo zur Mehrheit.

Die defensiven Antworten — zeitgewichtetes Stimmrecht, Token-Lockup vor Stimmberechtigung, Timelocks zwischen Vorschlag-Verabschiedung und Ausführung, Notfall-Multi-Sig-Veto — existieren im modernen DAO-Governance-Toolkit und sind zunehmend Standard. Forks, die ohne sie ausliefern, bleiben Exploit-Kandidaten.

Die CGT-2.0-Neuausgabe als Recovery-Mechanismus ist ebenfalls bemerkenswert: Dieser Ansatz funktioniert nur für Small-Cap-Tokens mit kontrollierbarer Token-Verteilung. Es ist im Wesentlichen der „Wir stimmen, dies on-chain rückgängig zu machen"-Ansatz zur Unveränderlichkeit, und er funktioniert, wenn die Halter und Gegenparteien des Protokolls vereinbaren, den neuen Token anzuerkennen.