Garden Finance втрачає $450K під час активного експлойту на чотирьох блокчейнах

Компанія з безпеки Web3 Blockaid виявила активний експлойт, який націлився на смарт-контракти Garden Finance і виводив приблизно 450 тис. доларів у USDT через чотири сумісні з EVM блокчейни. Атака зачепила контракти в Ethereum, Base, Arbitrum і BNB Chain та на момент виявлення ще тривала. Експлойт спрямований на Hash Time Locked Contracts (HTLC), що застосовуються для кросчейн атомарних свопів, дозволяючи атакувальнику напряму виводити USDT з цих контрактів одразу в кількох мережах. Раніше Garden Finance втратила оцінно $10,8 млн–$11 млн під час окремого інциденту наприкінці минулого року, який пов’язували зі скомпрометованим солвером, що поставило під сумнів надійність системи безпеки протоколу в різних сценаріях атак.

Blockaid виявляє вразливість HTLC-контрактів у чотирьох мережах

Garden Finance використовує Hash Time Locked Contracts (HTLC) для забезпечення кросчейн атомарних свопів. HTLC працюють як цифрові механізми ескроу з таймерами зворотного відліку: дві сторони блокують активи в різних мережах, а своп завершується лише в разі виконання умов обома сторонами до закінчення часу. Blockaid з’ясувала, що атакувальник виводив USDT напряму з цих HTLC-контрактів одночасно в кількох мережах. Багатомережевий характер експлойту вказує на вразливість у самій логіці контракту або на те, як його було розгорнуто в різних мережах, а не на просту одноразову помилку в межах одного розгортання. Сума в 450 тис. доларів є помітно меншою за інцидент наприкінці 2025 року.

Garden Finance фіксує другий масштабний інцидент безпеки

Попередня атака, яку пов’язували зі скомпрометованим солвером, спричинила втрати в діапазоні $10,8 млн–$11 млн. Тоді Garden Finance заявляла, що кошти користувачів не постраждали. Інцидент наприкінці 2025 року відстежили до скомпрометованого солвера, а не до вразливості смарт-контракту. Цей останній експлойт, схоже, націлений саме на контракти, тобто Garden Finance пережила принципово різні типи атак на різних рівнях своєї інфраструктури. Протокол працює в Ethereum, Solana, Base, Arbitrum і BNB Chain, а ключова ціннісна пропозиція — забезпечення швидких кросчейн свопів, зокрема між Bitcoin і USDT.

Протокол проходить аудити трьома компаніями з безпеки

Garden Finance пройшла аудити в Trail of Bits, OtterSec і Zellic — трьох найбільш авторитетних компаніях у сфері безпеки криптовалют. Blockaid позначила це як триваючу атаку, тобто вразливість могла активно експлуатуватися на момент виявлення. Наразі Garden Finance зазнала двох значних інцидентів безпеки менш ніж за рік. Перший коштував приблизно $11 млн, тоді як цей, схоже, менший за 450 тис. доларів.

FAQ

Який поточний статус експлойту Garden Finance?
Blockaid виявила активний експлойт, який виводив приблизно 450 тис. доларів у USDT з HTLC-смарт-контрактів Garden Finance в Ethereum, Base, Arbitrum і BNB Chain. На момент виявлення атака тривала.

Чим поточний експлойт відрізняється від попереднього інциденту безпеки Garden Finance?
Інцидент наприкінці 2025 року, що спричинив втрати в діапазоні $10,8 млн–$11 млн, пов’язували зі скомпрометованим солвером. Цей останній експлойт націлений на самі HTLC-смарт-контракти, тобто це інший тип атаки на іншому рівні інфраструктури протоколу.

Які компанії з безпеки проводили аудит Garden Finance?
Garden Finance пройшла аудити в Trail of Bits, OtterSec і Zellic.