Протокол Carrot закрывается после взлома Drift — TVL обнулён

Когда протокол Carrot объявляет о полном закрытии после взлома Drift, это не просто очередная история о потерянных средствах. Это, в первую очередь, история о том, как хрупкость композитной архитектуры DeFi может уничтожить проект, даже если сам он не был взломан. Carrot — yield-протокол на Solana, который агрегировал доходность, используя Drift Protocol как один из ключевых бэкендов. Теперь, после того как Drift был скомпрометирован, Carrot оказался не просто с дырой в балансе, а с полностью разрушенной моделью работы.

Как работал Carrot и почему он был уязвим

Carrot не был простым «сейвом» или пулом ликвидности. Его архитектура строилась на принципе «управляемых стратегий» (vaults), которые делегировали капитал в различные протоколы Solana, включая Drift. Пользователи вносили токены, а умные контракты Carrot автоматически размещали их в стратегиях Drift для генерации дохода от торговли, свопов и кредитования. Ключевая механика здесь — это композитная зависимость: Carrot не хранил средства сам, он держал депозитные сертификаты (LP-токены) от Drift.

Когда произошёл взлом Drift, злоумышленник смог манипулировать состоянием некоторых пулов ликвидности Drift. Carrot, как держатель этих LP-токенов, столкнулся с тем, что его активы (залог) были либо украдены напрямую, либо обесценены из-за некорректного ценообразования в результате атаки. В протоколах такого типа используется модель «долг/кредит», где стоимость позиции напрямую зависит от корректности оракулов и целостности пулов. Как только Drift был скомпрометирован, стоимость LP-токенов Carrot рухнула до нуля, а вместе с ней и весь TVL.

Главная техническая ошибка Carrot — отсутствие механизма изолированного риска. В отличие от многих современных протоколов, использующих изолированные пулы (как в Aave или Euler), Carrot, судя по всему, использовал единый пул ликвидности для всех стратегий. Это значит, что убыток от одной стратегии (Drift) не мог быть ограничен — он «заразил» весь капитал. Если бы Carrot использовал модель, где каждый депозитный контракт отвечает только за свою стратегию и не может повлиять на другие, то даже полная потеря средств в Drift не уничтожила бы протокол, а лишь заморозила бы отдельный «сейв».

Технические детали взлома Drift: что пошло не так

Для понимания катастрофы Carrot нужно разобрать сам эксплойт Drift. Судя по доступным данным, атака была направлена на манипуляцию ценой через механизм ликвидаций с перекосом. В протоколах типа Drift, которые используют модель «виртуальной книги ордеров» (vAMM), ликвидации могут создавать каскадные эффекты. Злоумышленник, вероятно, использовал флеш-кредит или крупный ордер, чтобы создать искусственный дисбаланс в пуле, заставив оракул неверно оценить стоимость залога.

Конкретно, проблема может быть связана с тем, как Drift обрабатывает запросы на ликвидацию. Если протокол позволяет ликвидировать позицию без проверки внешнего состояния рынка (например, через TWAP-оракул), то атакующий может «уронить» цену на короткое время, ликвидировать здоровые позиции, а затем откупить их по заниженной цене. Carrot, как крупный держатель позиций в Drift, стал жертвой этой схемы — его позиции были ликвидированы по искусственно заниженной цене, а компенсация, которую он получил, оказалась значительно меньше реальной стоимости активов.

Сравните это с подходом, который используют протоколы на базе Chainlink или Redstone. Они проверяют цену по нескольким источникам и используют временные фильтры (TWAP), чтобы исключить манипуляции. Drift, по всей видимости, полагался на собственную модель ценообразования, которая оказалась уязвимой к краткосрочным манипуляциям. Carrot, в свою очередь, не имел механизма «экстренного выхода» (circuit breaker), который позволил бы заморозить стратегию при обнаружении аномалий в цене.

Почему TVL обнулён: механика убытка

Когда говорят «TVL обнулён», это не значит, что все деньги исчезли в никуда. Это означает, что стоимость залога, который Carrot держал на балансе, упала до нуля. В случае с Carrot, его TVL — это не просто сумма внесённых токенов, а стоимость LP-токенов Drift. После взлома Drift, эти LP-токены перестали быть обеспеченными реальными активами. Они представляют собой «мусор» — требования на пул, который пуст или обесценен.

Протокол мог бы попытаться реструктуризироваться, выпустив токены восстановления (IOU), как это делали другие после взломов. Но почему Carrot выбрал закрытие? Вероятно, потому что убыток был тотальным. Если бы взлом затронул только часть пула, можно было бы заморозить активы и ждать возврата средств от следствия. Но здесь, судя по всему, атака уничтожила именно ту часть пула, где находились все средства Carrot. У протокола не осталось никакого резерва (казначейства) или страховки, чтобы компенсировать потери.

Это подводит к важному вопросу о токеномике безопасности. Carrot, как и многие yield-протоколы на Solana, не имел страхового пула (как, например, Nexus Mutual или InsurAce). Пользователи, которые вкладывали средства, принимали на себя полный риск контрагента. В момент, когда Drift был взломан, риск контрагента реализовался на 100%. Carrot не мог просто «выкупить» свои позиции, потому что у него не было ликвидности — весь капитал был в работе.

Сравнение с аналогами: как другие решают проблему зависимости

В мире DeFi есть протоколы, которые специально проектируются для устойчивости к таким каскадным отказам. Например, Yearn Finance использует модель «стратегий», где каждая стратегия — это отдельный контракт. Если одна стратегия теряет деньги, это не влияет на другие. Yearn также имеет механизм «emergency shutdown», который позволяет вручную остановить все стратегии и вернуть средства пользователям по текущей стоимости.

Другой пример — протоколы на базе EigenLayer (рестейкинг). Там риск изолирован через механизм «слэшинга» и «активной валидации». Если один сервис (AVS) ломается, теряются только те средства, которые были застейканы именно в нём. Остальные активы остаются нетронутыми. Carrot же, используя единый пул, создал ситуацию, где один сломанный блок (Drift) уничтожил всё здание.

Также стоит отметить подход Morpho, который использует «изолированные рынки». Каждый рынок (пара токенов) работает как независимый контракт. Если один рынок взломан, другие продолжают работать. Carrot, вероятно, не использовал такую изоляцию, потому что это усложняет агрегацию доходности и требует больше газа. Но на Solana, где комиссии низкие, это было бы оправдано.

Риски механики: что ещё могло пойти не так

Помимо очевидного риска контрагента, есть ещё один скрытый риск — риск ликвидности. Даже если бы Drift не был взломан, Carrot мог столкнуться с проблемой, когда пользователи массово выводят средства (банк-ран). В yield-протоколах, где средства заблокированы в стратегиях на определённый срок, нет возможности мгновенно выдать все депозиты. Carrot, вероятно, использовал модель «длинного хвоста» (long-tail assets), где ликвидность тонкая. В случае паники, он бы не смог конвертировать LP-токены обратно в базовые активы по справедливой цене, что привело бы к девальвации.

Ещё один аспект — риск оракулов. Carrot полагался на цены от Drift. Если бы Drift использовал один источник данных (например, только Jupiter), то манипуляция ценой на DEX могла бы привести к ложным ликвидациям. Взлом Drift это показал: атака была возможна именно из-за неточности в ценообразовании.

Наконец, стоит упомянуть риск управления. После взлома, команда Carrot, скорее всего, не имела возможности быстро обновить контракты или заморозить стратегии. Если бы у них был мультисиг с быстрым временем отклика (например, 2/3 с задержкой в 1 час), они могли бы остановить выводы до того, как злоумышленник выведет все средства. Но это требует высокой степени централизации, что противоречит философии DeFi.

Рыночный контекст и последствия

На момент публикации, Solana (SOL) торгуется по $83.49 с небольшим ростом на 0.54%. Индекс страха и жадности (Fear & Greed Index) находится на отметке 26 — «Страх». Это говорит о том, что рынок уже находится в зоне повышенного риска. Закрытие Carrot, вероятно, не вызовет паники на уровне всей сети, но для экосистемы Solana это ещё один гвоздь в крышку гроба доверия к yield-протоколам. После взлома Drift и закрытия Carrot, многие пользователи начнут пересматривать свои риски. TVL Solana в DeFi может снизиться, так как инвесторы будут требовать более высокую премию за риск.

Интересно, что Bitcoin (BTC) и Ethereum (ETH) показывают небольшой рост — $77,923 и $2,286 соответственно. Это указывает на то, что капитал, возможно, уходит из рискованных активов (SOL, DeFi-токены) в более стабильные активы. Для Carrot это трагедия, но для рынка в целом — сигнал о том, что без надёжных механизмов изоляции рисков, DeFi на Solana будет оставаться «диким западом».

А что будет с X когда Y?

А что будет с другими протоколами, которые используют Drift как бэкенд? Если Carrot закрылся, то кто следующий? Есть ли у них механизмы защиты от каскадного отказа, или они все держат LP-токены Drift? И главный вопрос: если такие инциденты будут повторяться, не приведёт ли это к тому, что Solana станет «кладбищем DeFi», где каждый второй протокол — это бомба замедленного действия, которая может взорваться из-за ошибки соседа?