2026年4月30日，基于Solana的去中心化金融（DeFi）收益协议Carrot正式宣布关闭。该协议在4月1日Drift Protocol遭遇史上最大DeFi攻击后，直接损失超过800万美元的TVL（总锁定价值）而无法继续运营。
Drift攻击事件回顾
4月1日20:00 UTC，Drift Protocol遭到黑客利用新型持久性nonce漏洞攻击其管理控制权，约2.85亿美元的资金在12分钟内被窃取。这是2026年最大规模的DeFi黑客攻击，也是Solana历史上第二大安全事件。攻击者据信与朝鲜国家支持的黑客组织有关联。
Carrot通过整合Drift的金库和流动性头寸持有大量风险敞口。事件发生后，该协议立即暂停了铸造和赎回功能，并评估损失。初步估计，Carrot约50%的TVL暴露在风险中，部分分析显示损失超过800万美元。在4月中旬的更新中，CRT代币的净资产价值被调整至约57.52-57.58美元。
关闭决定与用户操作时间线
4月30日，Carrot团队通过X（Twitter）发布最终公告确认关闭决定。公告称：“这不是我们想要的结果，但Drift攻击事件对我们的持续运营造成了灾难性打击。”用户需在2026年5月14日之前自愿从Carrot的三个核心产品——Boost、Turbo和CRT——中提取资金。此后，团队将开始将所有头寸去杠杆化至1倍，释放流动性供CRT赎回。
协议产品与用户资产安全
Carrot的Boost产品允许用户存入生息资产（如JLP、FLP或ONyc）作为抵押品并选择杠杆水平，协议自动化循环和借贷以放大收益。Turbo提供对SOL、BTC、GOLD等资产的杠杆代币敞口，并自动维持动态杠杆。CRT是一种生息稳定币，接受USDC、USDT或PYUSD存款，无锁仓期和管理费。
团队强调，在整个清算过程中，用户存入的资金始终归用户所有。任何来自Drift的恢复分发（预计以IOU代币形式在未定未来日期发放）将基于2026年4月1日20:00 UTC的CRT快照按比例分配。即使用户已经赎回CRT代币，其索赔权仍被保留。
未在5月14日前主动操作的用户，其Boost和Turbo仓位将被强制去杠杆至1倍。团队表示此过程不会影响净值。整个Drift攻击影响了15-20个依赖Drift提供流动性、金库或收益策略的Solana协议，Carrot因深度整合而受到最严重冲击。
Carrot协议运营已超过两年，其构建的“收益操作系统”为Solana用户提供自动化收益工具。在关闭期间，不收取任何管理费。建议用户直接在Solana区块浏览器上验证钱包余额和交易历史，并关注Carrot的通讯渠道以获取最终更新或恢复时间表公告。