Mint de pouvoir de vote Curio

Le 23 mars 2024, le protocole de RWA tokenisés CurioDAO a été exploité pour environ 16 millions de dollars — minté comme 1 milliard de tokens CGT (Curio Governance Token) vers l'attaquant. La vulnérabilité était dans un smart contract fork de MakerDAO responsable de la gestion du pouvoir de vote ; l'attaquant a acheté une petite position CGT, utilisé un bug pour amplifier son pouvoir de vote dramatiquement, et utilisé le pouvoir de vote gonflé pour voter des actions de contrat arbitraires y compris le mint malveillant.

Ce qui s'est passé

La gouvernance de CurioDAO était construite sur un smart contract dérivé de MakerDAO pour gérer le pouvoir de vote et l'exécution des propositions. Le fork avait hérité d'une vulnérabilité dans comment le pouvoir de vote délégué était calculé : sous certaines séquences d'appels, un petit holder CGT pouvait exploiter le calcul pour réclamer un pouvoir de vote bien supérieur à son solde CGT réel.

L'attaque :

1. L'attaquant a acquis une quantité nominale de CGT via des achats de marché normaux.
2. Exploité le calcul de pouvoir de vote pour s'enregistrer comme détenant un pouvoir de vote amplifié — effectivement une position majoritaire dans la gouvernance CurioDAO.
3. Avec un pouvoir de vote majoritaire, exécuté des actions arbitraires sur le contrat Curio DAO — y compris une proposition pour frapper 1 milliard de tokens CGT directement vers l'adresse de l'attaquant.
4. Le mint s'est exécuté ; l'attaquant détenait 1 Md de CGT valant nominalement ~16 M$ aux prix de marché pré-attaque.
5. Vente du CGT via la liquidité DEX, extrayant de la valeur réelle avant que le marché ne tarifie la dilution.

Conséquences

• CurioDAO a mis en pause les contrats affectés et annoncé une stratégie de récupération.
• L'équipe a lancé CGT 2.0 — un nouveau token émis aux holders légitimes pré-attaque de CGT, annulant effectivement l'offre mintée par l'attaquant.
• Un programme de prime white-hat a été annoncé offrant 10 % des fonds récupérés à quiconque aidant à tracer l'attaquant.
• Les fonds volés ont été blanchis via les canaux standards.

Pourquoi c'est important

Curio est l'un de plusieurs incidents qui mettent en évidence le problème d'héritage du fork de systèmes de gouvernance éprouvés. Les contrats de gouvernance de MakerDAO ont été déployés et testés à la plus grande échelle de tout DAO ; leur comportement chez MakerDAO est bien compris. Les forks qui modifient la logique environnante de distribution de tokens et de poids de vote sans ré-audit héritent de toute vulnérabilité composite que les modifications introduisent.

Le schéma se répète :

• Audius (juil. 2022) — initializer réinvocable a permis à l'attaquant de s'auto-déléguer 10 000 milliards d'AUDIO.
• Beanstalk (avr. 2022) — majorité de gouvernance acquise par prêt flash.
• Curio (mars 2024) — bug dans le calcul de pouvoir de vote amplifié un petit solde à la majorité.

Les réponses défensives — pouvoir de vote pondéré dans le temps, verrouillage de tokens avant éligibilité au vote, timelocks entre adoption et exécution des propositions, veto multi-sig d'urgence — existent dans l'outillage moderne de gouvernance DAO et sont de plus en plus standards. Les forks qui livrent sans elles restent des candidats à l'exploit.

La réémission CGT 2.0 comme mécanisme de récupération est aussi notable : cette approche ne fonctionne que pour les tokens à petite capitalisation avec une distribution de tokens contrôlable. C'est essentiellement l'approche « nous votons pour annuler cela on-chain » à l'immuabilité, et elle fonctionne quand les holders + contreparties du protocole acceptent de reconnaître le nouveau token.