Garden Finance HTLC 攻擊：共盜取 $450K USDT，涉及以太坊、Base、Arbitrum 及 BNB 鏈

2026/08/01 13:00:00

Garden Finance 在停止跨鏈橋接後

Garden Finance 是一個主要專注於將比特幣橋接到其他網路的跨鏈原子交換協議，該協議於 2026 年 7 月 26 日決定暫時停用其應用程式。此舉是在知名安全公司 Blockaid 報告發現一個正在被利用的漏洞後採取的，該漏洞導致約 450,000 美元的 USDT 被提取。相關資金是從部署在多個區塊鏈網路（包括以太坊、Base、Arbitrum 和 BNB 智能鏈）上的哈希時間鎖定合約中提取的。根據協議提供的資訊，攻擊者成功非法存取了某位獨立求解者所擁有的離線資料庫，並在系統中插入了欺詐性的交換記錄，隨後觸發了該求解者所擁有的流動性釋放，而對應方並未進行任何充幣。

重要的是，需指出此次攻擊並未影響核心智能合約和用戶資金，這對平台用戶而言是一個關鍵的安心訊息。此事件凸顯了在基於意圖和原子交換系統的求解器層面，即使鏈上合約本身保持安全，仍存在持續的運營風險。此外，這與2025年10月發生的一起涉及1140萬美元求解器被入侵、影響同一協議的更大且更令人擔憂的事件相呼應。此類漏洞模式引發了對此類系統在區塊鏈技術生態中整體安全性與運營強化能力的重大疑問。

Blockaid 檢測與資金盜取的多鏈範圍

區塊鏈安全公司 Blockaid 於 2026 年 7 月 26 日首次發現此活動，指出已有約 $450,000 的 USDT 從 Garden Finance HTLC 合約在四個網絡中被提領。該公司公佈了攻擊者的地址及樣本交易雜湊值，並描述此事件在被發現時仍在進行中。鏈上數據後來顯示，攻擊者地址在受影響的鏈上透過有限的交易數量，將資產集中至約 $425,000。同時針對以太坊、Base、Arbitrum 和 BNB 智能鏈的攻擊，表明攻擊者了解 HTLC 合約的多部署特性以及解題者的操作範圍。

Garden Finance 作出回應，為預防起見暫停了前端應用程式，並與外部調查人員協調。快速的檢測限制了進一步的損失，但此事件顯示，即使底層合約按設計運作，離鏈組件仍可能為資金提取創造途徑。市場觀察人士指出，與較大的橋樑事件相比，損失規模相對較小，但九個月內再次出現與求解器相關的損失，引發了對運營加固的疑問。公開聲明強調，協議本身仍按照其無需信任的設計運作。追蹤工作立即與專業合作夥伴展開。

離線資料庫遭入侵如何導致虛假結算

攻擊者並未利用 HTLC 智能合約的漏洞，而是獲取了由一名獨立求解者維護的離線資料庫的存取權限。進入後，入侵者創建了偽造的交換記錄，這些記錄被求解者的系統視為合法。這些記錄指示求解者釋放儲存在相應 HTLC 中的 USDT，儘管對手方並未進行任何匹配的充幣。由於求解者提供流動性並執行原子交換的匹配部分，其運行環境中持有實際資產，以便在加密條件看似完成時釋放。插入虛假資料繞過了正常的驗證流程，而該流程本應確認入賬資金。

Garden Finance 確認僅受影響的是解題者自有資金，用戶的充幣資金未受影響。此攻擊向量與傳統的智能合約重入或邏輯錯誤不同，而是揭示了許多現代意圖和解題者協議所依賴的鏈下協調層所集中的風險。獨立解題者使用各自的基礎設施，形成了一個分佈但安全防護不均的環境。此事件表明，這些系統的數據庫完整性與存取控制，與鏈上審計同樣關鍵。修復措施將必然聚焦於加強身份驗證、監控以及解題者環境的隔離。

協議回應與安全合作夥伴協作

Garden Finance 公開表示，其協議合約和 HTLC 實現从未被入侵。團隊暫停了應用程式介面，以防止進一步互動，同時進行法證調查。團隊與 zeroShadow、Quantstamp 和 Blockaid 建立合作，追蹤資金流向並識別恢復機會。官方通訊強調，沒有用戶資金遭受損失或處於風險中，損失僅限於受影響的求解者所擁有的資產。該協議表示，預計在完成安全審查後將恢復服務，但未提供確切的重啟日期。

這種審慎的應對方式，與 2025 年 10 月較大事件後所採用的反應模式一致。對範圍有限的透明說明有助於控制聲譽損失，但將應用程式下線的必要性，仍中斷了 Bitcoin 資產及相關資產的正常橋接活動。外部合作夥伴具備個別協議通常內部缺乏的專門追蹤與審計能力。此事件強化了事先建立應急響應關係的重要性。用戶被建議關注官方渠道的恢復更新，而非第三方聲稱。

與 2025 年 10 月的 Solver 事件比較

在2025年10月，一名攻擊者入侵了Garden Finance其中一名最大獨立求解器的運行環境，並從多條鏈中提取了約1140萬美元。隨後由外部審查製作的法證報告指出，此次入侵僅限於求解器層，協議合約和用戶資金仍處於安全狀態。被盜資產後來透過橋樑和混合器轉移，部分分析將此活動與已知的威脅行為者聯繫起來。2026年7月的事件在絕對金額上較小，但同樣遵循針對求解器基礎設施而非核心合約的模式。

這兩起案例均表明，原子交換系統的經濟安全高度依賴於提供流動性與撮合的參與方的操作規範。不到一年內再次發生類似事件，表明此前事件的教訓尚未完全消除攻擊面。Garden Finance 於 2026 年 1 月披露了先前的鑑識結果，建立了公開記錄，現已作為評估最新應對措施的基準。行業參與者將檢視在這第二起事件後是否引入了額外的技術或流程控制措施。這兩起事件的平行性為評估依賴求解器的架構風險提供了明確的數據點。

Hash 時間鎖合約在 Garden 設計中的角色

Garden Finance 依賴雜湊時間鎖定合約，以實現比特幣與 EVM 或其他網路之間的無信任跨鏈原子交換。HTLC 會鎖定資金，只有在定義的時間窗口內提供加密雜湊的原像，才能申領；否則，資金將退回原持有人。此結構允許不同鏈上的兩方在無需可信中介托管的情況下交換資產。解決者透過提供流動性並監控釋放條件參與其中。當解決者的鏈下系統接收到錯誤資料時，鏈上 HTLC 仍可能根據合約的觀點執行看似有效的釋放。

因此，該設計將加密鎖的安全性與決定何時與其互動的操作系統完整性分離。Trail of Bits 等公司進行的審計已檢視了鏈上組件，但鏈下求解器環境則未包含在這些審查範圍內。最近的攻擊並未破壞 HTLC 邏輯；而是操縱了觸發合法合約函數的輸入。理解這一區別對於評估類似協議的剩餘風險至關重要。原子交換橋樑的使用者必須同時考量鏈上與操作層面的保障。

對用戶的影響及橋接服務的持續性

Garden Finance 表示，在 2026 年 7 月的事件中，沒有用戶資金遭受損失或面臨風險。然而，應用程式介面的暫停暫時中止了新的交換和跨鏈轉移活動。有未完成交易或開倉的用戶被指引至官方通訊渠道以獲取狀態更新。由於核心合約仍依照其程式化規則運行，現有的鎖定持倉並未因攻擊而被單方面更改。儘管如此，此次中斷仍降低了流動性可用性，並延遲了依賴該協議的跨鏈轉移。

依賴 Garden 進行快速比特幣至 EVM 轉移的市場參與者，經歷了一段時間的選擇性降低。恢復計劃集中在完成求解器層的安全審查後，重新開放前端。相對於總鎖倉價值，損失範圍有限，有助於維持現有用戶的信心。在協議的溝通中，明確區分求解器資本與用戶充幣仍是核心訊息。此類事件後的服務連續性，是原子交換基礎設施長期採用的關鍵指標。

鏈上追蹤被盜資產

Blockaid 公佈了主要攻擊者的地址，以便獨立驗證資金流動。早期數據顯示，受影響的四條鏈上合計約有 425,000 美元的資金被集中。調查合作夥伴正在監控後續的轉帳以及可能的跨鏈或交換活動。在 2025 年的先前事件中，資金迅速通過混合器和跨鏈橋轉移，使追回變得複雜。2026 年的資金外流規模較小，若可凍結的資產抵達中心化平台，可能提高部分追回的實際機率。

專業公司如 zeroShadow 擁有追蹤多鏈流動並將模式歸因於已知參與者的經驗。區塊鏈的公開透明性允許任何觀察者在地址公開後追蹤其流向。成功的追蹤還能透過揭示偏好的退出路徑，為未來的防禦措施提供資訊。在初步報告時，該協議尚未為此事件宣布正式懸賞，儘管此前曾使用過此類激勵措施。對已識別錢包的持續監控仍是應對措施的重要組成部分。

基於求解器的跨鏈協議的更廣泛影響

許多現代跨鏈系統依賴於獨立求解者或競爭性求解者網絡，以滿足用戶意圖。這些運營者持有庫存並執行交換的匹配端，形成一個與核心協議合約分離的經濟層面。因此，求解者基礎設施的漏洞代表了一類反覆出現的風險，而這些風險並未被鏈上代碼的審計完全涵蓋。2025 年和 2026 年的 Garden Finance 事件表明，即使經過良好審計的 HTLC 設計，當離線決策層被入侵時，仍可能遭受損失。

採用類似架構的其他協議也面臨類似的風險。行業的回應可能包括對求解者實施更嚴格的操作安全標準、強制使用多方計算來處理密鑰資料，或提供涵蓋求解者資本的保險機制。正在評估原子交換或基於意圖的橋樑的用戶，現在有了關於求解者層面事件發生頻率和規模的具體數據。每次事件後的透明披露有助於整個行業的集體學習。這一模式表明，操作安全方面的投資必須與鏈上發展同步推進。

安全審計與剩餘運營風險

Garden Finance 已讓其核心合約接受包括 Trail of Bits 在內的知名公司審查，涵蓋 HTLC、質押和費用機制。這些審計專注於確定性的鏈上邏輯，並不延伸至獨立求解者的私有基礎設施。在將流動性提供外包的去中心化系統中，審計合約與未審計的操作環境之間的差距十分常見。在 2025 年事件後，法證工作發現了未經授權的 SSH 存取及隨後的洗錢模式。

2026 年的資料庫入侵事件代表了同一層級中的不同進入點。加強存取控制、持續監控以及隔離求解器資料庫似乎是當務之急。協議也可能探索加密技術，以減少離線持有的敏感狀態數量。殘餘風險無法完全消除，但每次事件都為下一次迭代提供了具體的改進依據。用戶應將求解器的操作安全視為與智慧合約審計報告並列的獨立評估標準。

跨鏈比特幣橋接的市場情境

對快速、非託管方式將比特幣轉入 EVM 及其他生態系統的需求，持續支持如 Garden Finance 等協議。使用 HTLC 的原子交換為託管橋樑或包裝資產提供了一種最小化信任的替代方案。流動性深度與執行速度取決於願意投入資金的活躍求解者。安全事件造成的中斷會暫時降低該深度，並使交易量轉向競爭平台。2026 年 7 月損失的相對有限規模限制了對更廣泛市場的干擾，但反覆發生的事件可能削弱大型流動性提供者的信心。

競爭壓力促進了快速恢復和顯著的強化。比特幣第二層解決方案和其他橋接設計的並行發展，為用戶在某一平台離線時提供了替代選擇。這一事件符合每一個主要跨鏈系統都曾面對的長期安全挑戰模式。要使該類別成熟，密碼學和運營實踐的持續創新仍然是必要的。

調查合作夥伴與恢復前景

Garden Finance 已聘請 zeroShadow、Quantstamp 和 Blockaid 協助追蹤與資金回收工作。這些公司專精於鏈上法證、智能合約審查與即時威脅偵測。他們的綜合能力有助於提高識別資金外流路徑的機率，並在資金出現在中心化平台時協調處理。過往解決方案與橋樑事件的回收率差異極大，取決於資金移動速度與混合器的使用情況。2026 年案件涉及的絕對金額較小，相較於先前的 1140 萬美元事件，可能提高部分資金回收的實際機率。

對攻擊者地址的公開披露，有助於社區監控，補充專業團隊的努力。任何追回的資產將歸還給受影響的解決者，而非返回協議金庫或用戶，這與喪失資本的所有權一致。隨著調查進展，進度更新將透過官方管道發布。這種協作模式反映了去中心化系統事後應對的當前最佳實踐。

原子交換和意圖協議使用者的課程

使用依賴獨立求解器系統的用戶應認識到，這些求解器的運營安全構成整體風險評估的一部分。即使智能合約設計和審計正確，提供流動性並執行匹配的各方仍可能成為故障點。在多個橋接平台之間進行分散化，可降低對單一運營中斷的風險敞口。在事件發生期間監控官方通訊渠道，可獲得最可靠的狀態資訊。

Garden Finance 在用戶資金與求解者資本之間保持的明確分離，是一項積極的設計特點，使用戶在最近兩起事件中避免了直接損失。然而，介面的臨時不可用仍影響了實際可用性。潛在用戶在投入大量資金前，建議審閱歷史事件報告及外部審計範圍。這兩起 Garden Finance 案例提供了具體範例，有助於制定類似協議的盡職調查清單。求解者運營標準的持續改進，將惠及整個去信任跨鏈工具類別。