Curve DAO kiest yRisk als risicobeoordelaar ondanks hack van $9,6 miljoen

Curve DAO heeft op 2 september yRisk goedgekeurd als nieuwe risicobeoordelaar voor crvUSD en Llamalend. De aanstelling volgt op het vroegtijdig vertrek van voorganger LlamaRisk, dat 10 maanden in een eenjarige verlenging stopte. Opvallend: de twee personen achter yRisk zijn ook kernontwikkelaars van Resupply, een protocol dat in juni 2025 werd getroffen door een aanval waarbij $9,6 miljoen verloren ging. Die informatie ontbreekt in het goedgekeurde voorstel.

In het kort:

• Curve DAO stemt in met yRisk als risicobeoordelaar voor crvUSD en Llamalend, ter vervanging van LlamaRisk.
• yRisk ontvangt 125.000 frxUSD en 568.181 CRV via eenjarige vesting streams die herroepbaar zijn.
• De twee yRisk-ontwikkelaars zijn ook betrokken bij Resupply, dat in juni 2025 voor $9,6 miljoen werd gehackt; dit staat niet in het voorstel vermeld.

yRisk vervangt LlamaRisk na selectieproces sinds juli

Het selectieproces voor een nieuwe risicobeoordelaar liep al sinds juli, nadat LlamaRisk besloot zijn opdracht eerder te beëindigen dan afgesproken. Curve DAO koos uiteindelijk voor yRisk, een team van twee personen dat zichzelf in het voorstel omschrijft als “primaire Resupply-ontwikkelaars” en “kernontwikkelaars bij Yearn en Resupply, via hun respectieve bedrijven”.

De stemming verliep eenzijdig: yRisk ontving circa 536,9 miljoen veCRV stemmen vóór en geen enkele tegen. Als vergoeding krijgt het duo 125.000 frxUSD en 568.181 CRV via herroepbare eenjarige vesting streams.

Hack van Resupply niet vermeld in het voorstel

Resupply is een stablecoin en leenprotocol dat bovenop crvUSD en CurveLend is gebouwd. In juni 2025 werd het protocol getroffen door een zogenoemde donation attack, waarbij een aanvaller de wisselkoers van een vault naar nul afrondde en zo $9,6 miljoen wist te onttrekken.

Die exploit werd door yRisk niet vermeld in het voorstel waarover Curve DAO stemde, en ook Curve’s eigen vergelijkend overzicht van kandidaten maakte er geen melding van. Critici wijzen erop dat juist een risicobeoordelaar volledige transparantie zou moeten bieden over eerdere beveiligingsincidenten bij projecten waarbij zijn medewerkers betrokken zijn.