Das auf Solana basierende DeFi-Yield-Protokoll Carrot hat eine dauerhafte Schließung bekannt gegeben, nachdem Verluste im Zusammenhang mit dem Drift Protocol Exploit es unmöglich gemacht hatten, den Betrieb fortzusetzen.
Laut einer von Carrot am Donnerstag auf X veröffentlichten Erklärung erwies sich der Angriff auf Drift am 1. April als „katastrophal“ für das Protokoll, was das Team dazu zwang, die Dienste einzustellen und den 14. Mai als Frist für die Auszahlung verbleibender Gelder festzulegen. Das Team erklärte, es werde weiterhin bei den Wiederherstellungsbemühungen im Zusammenhang mit Drift helfen und Vermögenswerte verteilen, sobald diese wiederhergestellt sind.
„Wir setzen den 14. Mai als Frist für die Auszahlung aller verbleibenden Gelder aus Boost, Turbo und CRT fest, bevor wir dann mit dem Abbau der Hebelwirkung des Systems beginnen werden. Ihre eingezahlten Gelder gehören weiterhin Ihnen, aber die gesamte Hebelwirkung wird auf Null reduziert, wodurch die gesamte Liquidität für die CRT-Rückzahlung freigegeben wird“, so das Team.
Carrot, das in die Infrastruktur von Drift integriert war, stützte sich auf dessen Liquiditätspools zur Erzielung von Renditen, was es anfällig machte, als der Exploit einen Großteil des Total Value Locked von Drift entzog. DefiLlama-Daten zeigen, dass der TVL von Carrot vor dem Vorfall von etwa 28 Millionen US-Dollar auf 1,99 Millionen US-Dollar sank, ein Rückgang von rund 93 %.
Das Drift Protocol erklärte am 5. April, dass dem Exploit monatelange Vorbereitungen vorausgingen, in denen Angreifer durch persönliche Treffen und Online-Kontakte Vertrauen zu den Mitwirkenden aufbauten, bevor sie bösartige Tools lieferten. Externe Schätzungen bezifferten die Verluste aus dem Angriff auf etwa 280 Millionen US-Dollar, während Drift die Kampagne als organisiert und mit erheblichen Ressourcen ausgestattet beschrieb.
Laut Drifts Überprüfung begann der Kontakt mit den Angreifern um Oktober 2025, als sich Personen, die sich als Mitglieder eines quantitativen Handelsunternehmens ausgaben, auf einer Krypto-Konferenz an Mitwirkende wandten und später Beziehungen über mehrere Branchenveranstaltungen hinweg pflegten. Der Austausch sagte, diese Interaktionen hätten der Gruppe ermöglicht, Vertrauen zu gewinnen, bevor sie Geräte kompromittierten und den Exploit ausführten.
Drift fügte hinzu, dass es „mittelgroße bis hohe Gewissheit“ hat, dass dieselben Akteure an der Radiant Capital Breach im Oktober 2024 beteiligt waren, die zu Verlusten von etwa 58 Millionen US-Dollar führte und Malware umfasste, die über Telegram verbreitet wurde.
Die Auswirkungen haben sich über Carrot hinaus ausgeweitet. Mit Drift verbundene Projekte, darunter Gauntlet, PrimeFi und Elemental DeFi, haben nach dem Exploit ebenfalls Störungen gemeldet.
DefiLlama-Daten zeigen, dass im April Krypto-Verluste von fast 630 Millionen US-Dollar bei 25 Vorfällen verzeichnet wurden, was ihn zum größten Monat für Exploits seit Februar 2025 macht, als die Verluste 1,47 Milliarden US-Dollar erreichten. Der 293-Millionen-Dollar-Angriff auf Kelp bleibt der größte Exploit des Jahres 2026 bisher, gefolgt vom Drift-Breach mit rund 285 Millionen US-Dollar, wobei beide Vorfälle mehr als 90 % der Gesamtverluste im April ausmachen.
