Giao thức lợi suất DeFi trên Solana, Carrot, đã thông báo ngừng hoạt động vĩnh viễn sau khi các khoản lỗ liên quan đến vụ tấn công Drift Protocol khiến giao thức này không thể tiếp tục hoạt động.
Theo một tuyên bố được Carrot đăng trên X vào thứ Năm, vụ tấn công Drift vào ngày 1 tháng 4 đã chứng tỏ là “thảm khốc” đối với giao thức, buộc đội ngũ phải ngừng cung cấp dịch vụ và ấn định ngày 14 tháng 5 là hạn chót để người dùng rút các khoản tiền còn lại. Đội ngũ cho biết họ sẽ tiếp tục hỗ trợ các nỗ lực phục hồi liên quan đến Drift và phân phối tài sản sau khi chúng được phục hồi.
“Chúng tôi đặt ngày 14 tháng 5 là hạn chót để rút bất kỳ khoản tiền nào còn lại từ Boost, Turbo và CRT trước khi chúng tôi bắt đầu giảm đòn bẩy hệ thống. Tiền gửi của bạn vẫn thuộc về bạn, nhưng tất cả đòn bẩy sẽ được giảm về 0, giải phóng toàn bộ thanh khoản để đổi CRT,” đội ngũ cho biết.
Được tích hợp với cơ sở hạ tầng của Drift, Carrot dựa vào các pool thanh khoản của Drift để tạo ra lợi suất, điều này khiến nó bị ảnh hưởng khi vụ tấn công rút cạn một phần lớn Tổng giá trị bị khóa của Drift. Dữ liệu từ DefiLlama cho thấy TVL của Carrot đã giảm từ khoảng 28 triệu đô la trước sự cố xuống còn 1,99 triệu đô la, một mức giảm khoảng 93%.
Drift Protocol cho biết vào ngày 5 tháng 4 rằng vụ tấn công là kết quả của nhiều tháng chuẩn bị, trong đó những kẻ tấn công đã xây dựng lòng tin với các thành viên đóng góp thông qua các cuộc gặp mặt trực tiếp và liên hệ trực tuyến trước khi phân phối các công cụ độc hại. Các ước tính bên ngoài đặt thiệt hại từ vụ tấn công vào khoảng 280 triệu đô la, trong khi Drift mô tả chiến dịch này là có tổ chức và được hỗ trợ bởi các nguồn lực đáng kể.
Theo đánh giá của Drift, việc liên hệ với những kẻ tấn công bắt đầu vào khoảng tháng 10 năm 2025, khi các cá nhân giả dạng thành viên của một công ty giao dịch định lượng tiếp cận các thành viên đóng góp tại một hội nghị tiền mã hóa và sau đó duy trì mối quan hệ qua nhiều sự kiện trong ngành. Sàn giao dịch cho biết những tương tác đó đã cho phép nhóm này giành được lòng tin trước khi thâm nhập thiết bị và thực hiện vụ tấn công.
Drift nói thêm rằng họ có “độ tin cậy từ trung bình đến cao” rằng những kẻ tấn công tương tự đã liên quan đến vụ xâm phạm Radiant Capital vào tháng 10 năm 2024, gây ra thiệt hại khoảng 58 triệu đô la và liên quan đến mã độc được phân phối qua Telegram.
Tác động đã lan rộng ra ngoài Carrot. Các dự án liên quan đến Drift, bao gồm Gauntlet, PrimeFi và Elemental DeFi, cũng đã báo cáo các gián đoạn sau vụ tấn công.
Dữ liệu từ DefiLlama cho thấy tháng 4 đã ghi nhận gần 630 triệu đô la thiệt hại tiền mã hóa qua 25 sự cố, biến đây trở thành tháng có thiệt hại lớn nhất do các vụ tấn công kể từ tháng 2 năm 2025, khi thiệt hại đạt 1,47 tỷ đô la. Vụ tấn công 293 triệu đô la vào Kelp vẫn là vụ tấn công lớn nhất năm 2026 cho đến nay, tiếp theo là vụ xâm phạm Drift với khoảng 285 triệu đô la, cả hai sự cố này chiếm hơn 90% tổng thiệt hại của tháng 4.
