Garden Finance untuk sementara menonaktifkan aplikasinya setelah penyerang membobol database off-chain dari solver independen, yang mengakibatkan hilangnya aset digital milik solver sementara kontrak protokol dan dana pengguna tetap tidak terpengaruh.
Firma keamanan blockchain Blockaid melaporkan pada hari Minggu bahwa seorang penyerang menguras sekitar $450.000 dalam USDT dari kontrak hash time-locked (HTLC) Garden Finance yang digunakan di Ethereum, Base, Arbitrum, dan BNB Smart Chain, menggambarkan eksploitasi tersebut sebagai aktif sambil mempublikasikan alamat dompet yang terkait dengan penyerang dan kontrak yang terpengaruh.
Garden Finance kemudian mengatakan kepada Cointelegraph bahwa protokol itu sendiri tidak dibobol. Sebaliknya, perusahaan menyatakan insiden tersebut berasal dari infrastruktur off-chain dari sebuah solver independen, di mana penyerang mendapatkan akses ke database solver dan menyisipkan catatan transaksi palsu yang memicu pelepasan dana untuk swap yang belum pernah didanai oleh pihak lawan yang bersangkutan.
Sebagai tindakan pencegahan, Garden untuk sementara menonaktifkan aplikasinya sementara para insinyur mengisolasi infrastruktur yang terpengaruh dan meninjau insiden tersebut. Protokol tersebut menyatakan tidak ada dana pengguna yang hilang atau terekspos karena hanya aset milik solver yang terpengaruh yang terlibat.
Perusahaan menambahkan bahwa mereka masih memverifikasi total jumlah kerugian, beserta aset dan jaringan blockchain yang tepat yang terpengaruh oleh serangan tersebut.
Meskipun Blockaid awalnya mengaitkan insiden tersebut dengan infrastruktur HTLC Garden, protokol tersebut menyatakan bahwa kontrak pintarnya terus beroperasi sesuai desain dan tidak dieksploitasi.
Garden menjelaskan bahwa HTLC berfungsi sebagai kontrak escrow yang memungkinkan atomic swap antara Bitcoin dan aset di blockchain lain dengan mengunci dana hingga kondisi yang telah ditentukan terpenuhi atau batas waktu berakhir. Menurut perusahaan, kontrak-kontrak tersebut tetap aman sepanjang insiden.
Sebaliknya, Garden mengaitkan kerugian tersebut dengan catatan yang dimanipulasi di dalam database off-chain yang disusupi yang digunakan oleh salah satu solver independennya. Entri palsu tersebut menyebabkan solver melepaskan dana untuk swap meskipun deposit yang sesuai tidak pernah diselesaikan.
Menurut Garden, insiden tersebut tetap terisolasi pada satu peserta dalam jaringan solver independen yang terdesentralisasi daripada memengaruhi protokol yang lebih luas.
“Protokol Garden dan kontrak pintar HTLC tidak disusupi, dan tidak ada dana pengguna yang hilang atau berisiko,” kata perusahaan itu kepada Cointelegraph sambil menekankan bahwa hanya aset milik solver yang terpengaruh.
Protokol tersebut juga mencatat bahwa pihaknya tidak mengontrol infrastruktur yang dioperasikan oleh solver independen, yang menjalankan swap dalam jaringan.
Garden menyatakan telah melibatkan firma keamanan blockchain dan respons insiden zeroShadow, Quantstamp, dan Blockaid untuk melacak aset yang dicuri dan mendukung upaya pemulihan.
Bersamaan dengan investigasi tersebut, perusahaan menyatakan bahwa mereka berharap dapat memulihkan layanan normal setelah menyelesaikan tinjauan keamanan tambahan, meskipun belum memberikan garis waktu untuk mengaktifkan kembali aplikasi sepenuhnya.
Protokol tersebut menambahkan bahwa prioritas utamanya termasuk mengamankan infrastruktur yang terpengaruh, melacak aset solver yang disusupi, dan memastikan setiap pemeriksaan keamanan yang diperlukan telah diselesaikan sebelum layanan dilanjutkan.
Garden juga menunjuk pada sertifikasi SOC 2 Tipe II yang baru saja diselesaikannya, menyatakan bahwa sertifikasi tersebut menunjukkan investasi berkelanjutan dalam kontrol operasional dan proses keamanan meskipun insiden terbaru berasal dari infrastruktur yang dioperasikan oleh peserta jaringan independen.
Pengungkapan terbaru ini hanya beberapa hari setelah perusahaan pembayaran stablecoin yang berbasis di Singapura, Triple-A, mengonfirmasi akses tidak sah ke dompet perbendaharaan perusahaan yang mengakibatkan hilangnya aset digital perusahaan sementara dana pelanggan tetap tidak terpengaruh.
Menurut Triple-A, insiden 25 Juli hanya memengaruhi aset perbendaharaan milik perusahaan karena dana pelanggan disimpan secara terpisah dalam rekening perwalian yang dilindungi daripada di dalam dompet perusahaan. Perusahaan untuk sementara menempatkan layanan tertentu dalam mode pemeliharaan sebelum memulihkan operasi pembayaran normal setelah pemeriksaan keamanan tambahan.
Triple-A juga menyatakan sedang bekerja sama dengan spesialis forensik blockchain, pakar keamanan siber, dan Kepolisian Singapura untuk menyelidiki pelanggaran tersebut dan melacak aset yang dicuri. Meskipun penyelidik blockchain memperkirakan kerugian akhirnya mencapai sekitar $11,8 juta, perusahaan belum mengkonfirmasi total jumlah atau mengungkapkan bagaimana akses tidak sah tersebut terjadi.
Pengungkapan terbaru Garden juga menyusul insiden keamanan sebelumnya yang melibatkan salah satu solver independennya.
Menurut protokol tersebut, seorang penyerang menyusupi lingkungan operasional solver lain pada Oktober 2025 dan mencuri sekitar $11,4 juta. Garden menyatakan bahwa serangan tersebut juga tidak memengaruhi kontrak protokolnya atau menempatkan dana pengguna dalam risiko karena pembobolan tetap terbatas pada lingkungan operasional solver itu sendiri, bukan pada protokol.
Serangan terbaru ini menambah serangkaian insiden keamanan yang dilaporkan di seluruh sektor mata uang kripto selama tahun 2026.
Pekan lalu, protokol keuangan terdesentralisasi Lien Finance mengungkapkan kerugian sekitar 542.144,63 USDC setelah penyerang mengeksploitasi kelemahan dalam logika validasi dan harga obligasinya. Firma keamanan blockchain SlowMist mengatakan celah tersebut memungkinkan token obligasi yang tidak didukung untuk dicetak dan ditukarkan dengan likuiditas USDC nyata tanpa menggunakan jaminan yang diperlukan.
