O protocolo de rendimento DeFi baseado em Solana, Carrot, anunciou um encerramento permanente após perdas ligadas à exploração do Drift Protocol o terem deixado incapaz de continuar as operações.

De acordo com um comunicado publicado pela Carrot no X na quinta-feira, o ataque de 1º de abril ao Drift provou ser “catastrófico” para o protocolo, forçando a equipe a encerrar os serviços e definir 14 de maio como o prazo final para os usuários retirarem os fundos restantes. A equipe disse que continuará auxiliando nos esforços de recuperação ligados ao Drift e distribuirá os ativos assim que forem recuperados.

“Estamos definindo 14 de maio como o prazo final para retirar quaisquer fundos restantes de Boost, Turbo e CRT antes que comecemos a desalavancar o sistema. Seus fundos depositados ainda são seus, mas toda a alavancagem será reduzida a zero, liberando toda a liquidez para resgate de CRT”, disse a equipe.

Integrada à infraestrutura do Drift, a Carrot dependia de seus pools de liquidez para gerar rendimento, o que a deixou exposta quando a exploração drenou uma grande parte do valor total bloqueado do Drift. Dados do DefiLlama mostram que o TVL da Carrot caiu de cerca de US$ 28 milhões antes do incidente para US$ 1,99 milhão, uma queda de aproximadamente 93%.

O Drift Protocol afirmou em 5 de abril que a exploração seguiu meses de preparação, durante os quais os atacantes construíram confiança com colaboradores por meio de reuniões presenciais e contato online antes de entregar ferramentas maliciosas. Estimativas externas apontaram perdas do ataque em cerca de US$ 280 milhões, enquanto o Drift descreveu a campanha como organizada e apoiada por recursos significativos.

De acordo com a revisão do Drift, o contato com os atacantes começou por volta de outubro de 2025, quando indivíduos se passando por membros de uma empresa de negociação quantitativa abordaram colaboradores em uma conferência de cripto e, posteriormente, mantiveram relacionamentos em múltiplos eventos da indústria. A exchange disse que essas interações permitiram ao grupo ganhar confiança antes de comprometer dispositivos e executar a exploração.

O Drift acrescentou que tem “confiança média-alta” de que os mesmos atores estiveram envolvidos na violação da Radiant Capital em outubro de 2024, que resultou em cerca de US$ 58 milhões em perdas e envolveu malware distribuído via Telegram.

O impacto se estendeu além da Carrot. Projetos conectados ao Drift, incluindo Gauntlet, PrimeFi e Elemental DeFi, também relataram interrupções após a exploração.

Dados do DefiLlama mostram que abril registrou quase US$ 630 milhões em perdas de cripto em 25 incidentes, tornando-o o maior mês para explorações desde fevereiro de 2025, quando as perdas atingiram US$ 1,47 bilhão. O ataque de US$ 293 milhões ao Kelp permanece como a maior exploração de 2026 até agora, seguido pela violação do Drift, com aproximadamente US$ 285 milhões, sendo que ambos os incidentes representam mais de 90% do total de perdas de abril.