Garden Finance pierde $450K en un exploit activo en cuatro cadenas de bloques

La firma de seguridad Web3 Blockaid detectó un exploit activo dirigido a los contratos inteligentes de Garden Finance, drenando aproximadamente 450.000 USD en USDT a través de cuatro blockchains compatibles con EVM. El ataque afectó contratos en Ethereum, Base, Arbitrum y BNB Chain, y permanecía en curso en el momento de la detección. El exploit se dirige a los Hash Time Locked Contracts (HTLCs) usados para swaps atómicos cross-chain, lo que permite al atacante drenar USDT directamente desde estos contratos en múltiples cadenas simultáneamente. Garden Finance había perdido previamente una estimación de 10,8 millones USD a 11 millones USD en una brecha separada a finales del año pasado, atribuida a un solver comprometido, lo que plantea dudas sobre la infraestructura de seguridad del protocolo frente a diferentes vectores de ataque.

Blockaid identifica una vulnerabilidad de contratos HTLC en cuatro cadenas

Garden Finance utiliza Hash Time Locked Contracts (HTLCs) para facilitar swaps atómicos cross-chain. Los HTLCs funcionan como mecanismos de escrow digital con temporizadores de cuenta atrás: dos partes bloquean activos en cadenas distintas y el intercambio solo se completa si ambas partes cumplen las condiciones antes de que expire el tiempo. Blockaid identificó que el atacante drenó USDT directamente desde estos contratos HTLC en múltiples cadenas simultáneamente. La naturaleza multi-cadena del exploit sugiere una vulnerabilidad en la lógica del contrato en sí o en cómo se implementó en distintas redes, en lugar de un fallo puntual en una sola implementación. La cifra de 450.000 USD es notablemente menor que el incidente de finales de 2025.

Garden Finance registra un segundo gran incidente de seguridad

El ataque anterior, atribuido a un solver comprometido, provocó pérdidas entre 10,8 millones USD y 11 millones USD. Garden Finance afirmó en su momento que los fondos de los usuarios no se vieron afectados por esa brecha. La brecha de finales de 2025 se atribuyó a un solver comprometido y no a una vulnerabilidad de contrato inteligente. Este último exploit parece apuntar a los contratos en sí, lo que significa que Garden Finance ha sufrido tipos de ataques fundamentalmente diferentes en distintas capas de su infraestructura. El protocolo opera en Ethereum, Solana, Base, Arbitrum y BNB Chain, con una propuesta de valor central que permite swaps cross-chain rápidos, en particular entre Bitcoin y USDT.

El protocolo se somete a auditorías de tres firmas de seguridad

Garden Finance se ha sometido a auditorías de Trail of Bits, OtterSec y Zellic, tres de las firmas de seguridad más respetadas en el espacio cripto. Blockaid lo señaló como un ataque en curso, lo que implica que la vulnerabilidad podría haber sido explotable activamente en el momento de la detección. Garden Finance ahora carga con el peso de dos incidentes de seguridad significativos en menos de un año. El primero costó aproximadamente 11 millones USD, mientras que este parece ser menor, de 450.000 USD.

FAQ

¿Cuál es el estado actual del exploit de Garden Finance?
Blockaid detectó un exploit activo que drena aproximadamente 450.000 USD en USDT de los contratos inteligentes HTLC de Garden Finance en Ethereum, Base, Arbitrum y BNB Chain. El ataque estaba en curso en el momento de la detección.

¿En qué se diferencia el exploit actual de la brecha de seguridad previa de Garden Finance?
La brecha de finales de 2025, que resultó en pérdidas entre 10,8 millones USD y 11 millones USD, se atribuyó a un solver comprometido. Este último exploit apunta a los contratos inteligentes HTLC en sí, lo que representa un tipo de ataque diferente en otra capa de la infraestructura del protocolo.

¿Qué firmas de seguridad han auditado Garden Finance?
Garden Finance se ha sometido a auditorías de Trail of Bits, OtterSec y Zellic.