Oparty na Solanie protokół generowania zysków DeFi, Carrot, ogłosił trwałe zamknięcie po tym, jak straty związane z exploitem protokołu Drift uniemożliwiły mu kontynuowanie działalności.
Zgodnie z oświadczeniem opublikowanym przez Carrot na platformie X w czwartek, atak na Drift z 1 kwietnia okazał się „katastrofalny” dla protokołu, zmuszając zespół do wycofania usług i ustalenia 14 maja jako terminu dla użytkowników na wypłatę pozostałych środków. Zespół poinformował, że będzie nadal wspierać działania na rzecz odzyskania środków związane z Drift i dystrybuować aktywa po ich odzyskaniu.
„Ustaliliśmy 14 maja jako termin na wypłatę wszelkich pozostałych środków z Boost, Turbo i CRT, zanim rozpoczniemy delewarowanie systemu. Wasze zdeponowane środki nadal należą do Was, ale cała dźwignia finansowa zostanie zredukowana do zera, uwalniając całą płynność do wykupu CRT” – poinformował zespół.
Zintegrowany z infrastrukturą Drift, Carrot opierał się na jego pulach płynności w celu generowania zysków, co naraziło go, gdy exploit odprowadził dużą część całkowitej zablokowanej wartości Drift. Dane DefiLlama pokazują, że TVL Carrot spadła z około 28 milionów dolarów przed incydentem do 1,99 miliona dolarów, co stanowi spadek o około 93%.
Protokół Drift stwierdził 5 kwietnia, że exploit był wynikiem miesięcy przygotowań, podczas których atakujący budowali zaufanie wśród współtwórców poprzez spotkania osobiste i kontakt online, zanim dostarczyli złośliwe narzędzia. Zewnętrzne szacunki określiły straty z ataku na około 280 milionów dolarów, natomiast Drift opisał kampanię jako zorganizowaną i wspieraną znacznymi zasobami.
Zgodnie z przeglądem Drift, kontakt z atakującymi rozpoczął się około października 2025 roku, kiedy osoby podające się za członków firmy handlu ilościowego skontaktowały się ze współtwórcami na konferencji kryptowalutowej, a później utrzymywały relacje podczas wielu wydarzeń branżowych. Giełda stwierdziła, że te interakcje pozwoliły grupie zdobyć zaufanie przed skompromitowaniem urządzeń i wykonaniem exploita.
Drift dodał, że ma „średnio-wysokie prawdopodobieństwo”, że ci sami aktorzy byli zaangażowani w naruszenie Radiant Capital z października 2024 roku, które spowodowało straty w wysokości około 58 milionów dolarów i obejmowało złośliwe oprogramowanie dystrybuowane przez Telegram.
Wpływ rozciągnął się poza Carrot. Projekty połączone z Drift, w tym Gauntlet, PrimeFi i Elemental DeFi, również zgłosiły zakłócenia po exploitcie.
Dane DefiLlama pokazują, że w kwietniu odnotowano prawie 630 milionów dolarów strat w kryptowalutach w wyniku 25 incydentów, co czyni go największym miesiącem pod względem exploitów od lutego 2025 roku, kiedy straty osiągnęły 1,47 miliarda dolarów. Atak na Kelp o wartości 293 milionów dolarów pozostaje największym exploitem 2026 roku do tej pory, a zaraz po nim jest naruszenie Drift o wartości około 285 milionów dolarów, przy czym oba incydenty stanowią ponad 90% całkowitych strat z kwietnia.
