Carrot Protocol のシャットダウンは、 DeFi のコンポーザビリティが最初から伝染のベクトルであったことを証明した
Carrot Protocol はハッキングされたわけではありません。スマートコントラクトが侵害されたわけでも、管理者キーがフィッシングされたわけでも、チームがラグプル(資金持ち逃げ)をしたわけでもありません。しかし、2026 年 4 月 30 日、この Solana イールドアグリゲーターは、TVL(預かり資産)の半分が他者のエクスプロイトによって消失したため、5 月 14 日までに全額を引き出すようユーザーに告げました。
その「他者」とは、無期限先物取引所である Drift Protocol でした。同プロトコルは 4 月 1 日に、調査員が北朝鮮に関連した「デュラブルノンス(durable-nonce)」攻撃と推測する手法により、約 2 億 8,500 万ドルを失いました。Carrot の Boost と Turbo 製品は、ユーザーの預金を Drift と統合されたボルト(保管庫)経由で密かに運用していました。Drift が資金を流出させたとき、Carrot もまた流出に見舞われたのです。当時 Carrot が保有していた約 1,600 万ドルの預金のうち、約 800 万ドルが下流で吸い上げられました。Carrot 自身の過失がないにもかかわらず、TVL の 50% が一晩で消失したのです。
30 日後、Carrot はそのエクスポージャーを理由に正式に閉鎖される最初のプロトコルとなりました。そして、これが最後ではないことはほぼ確実でしょう。この閉鎖は、2020 年以来、表面下でくすぶっていた問いに DeFi 業界がもはや目を背けられなくなった瞬間です。「マネーレゴ(money LEGOs)」が組み合わさっているとき、土台となる 1 つのブロックが崩れたら、その失敗の責任は誰が負うのでしょうか?