Garden Finance тимчасово відключила свій додаток після того, як зловмисник скомпрометував офчейн-базу даних незалежного вирішувача (solver), що призвело до втрати цифрових активів, які належали вирішувачу, залишивши контракти протоколу та кошти користувачів неушкодженими.

Компанія з безпеки блокчейнів Blockaid повідомила в неділю, що зловмисник вивів близько $450 000 у USDT з хеш-тайм-блокованих контрактів (HTLC) Garden Finance, розгорнутих на Ethereum, Base, Arbitrum та BNB Smart Chain, описавши експлойт як активний і опублікувавши адреси гаманців, пов'язані зі зловмисником та постраждалими контрактами.

Garden Finance пізніше повідомила Cointelegraph, що сам протокол не був зламаний. Замість цього, компанія заявила, що інцидент стався через офчейн-інфраструктуру незалежного вирішувача, де зловмисник отримав доступ до бази даних вирішувача та вставив шахрайські записи транзакцій, які ініціювали вивільнення коштів для обмінів, що ніколи не були профінансовані відповідною контрагентом.

В якості запобіжного заходу Garden тимчасово відключила свій додаток, поки інженери ізолювали постраждалу інфраструктуру та перевіряли інцидент. Протокол заявив, що кошти користувачів не були втрачені або скомпрометовані, оскільки були залучені лише активи, що належали постраждалому вирішувачу.

Компанія додала, що все ще перевіряє загальну суму втрат, а також точні активи та блокчейн-мережі, постраждалі від атаки.

Ціллю був офчейн-вирішувач, а не протокол

Хоча Blockaid спочатку пов'язувала інцидент з HTLC-інфраструктурою Garden, протокол заявив, що його смарт-контракти продовжували працювати як задумано і не були експлуатовані.

Garden пояснила, що HTLC служать ескроу-контрактами, які дозволяють атомарні обміни між Біткоїном та активами на інших блокчейнах, блокуючи кошти до тих пір, поки не будуть виконані попередньо визначені умови або не закінчиться термін дії. За словами компанії, ці контракти залишалися безпечними протягом усього інциденту.

Натомість, Garden приписала втрату маніпульованим записам у скомпрометованій офчейн-базі даних, що використовувалася одним з її незалежних вирішувачів. Шахрайські записи змусили вирішувача вивільнити кошти для обмінів, незважаючи на те, що відповідні депозити так і не були завершені.

За словами Garden, інцидент залишився ізольованим для одного учасника в її децентралізованій мережі незалежних вирішувачів, а не торкнувся ширшого протоколу.

«Протокол Garden та HTLC смарт-контракти не були скомпрометовані, і жодні кошти користувачів не були втрачені або під загрозою», — повідомила компанія Cointelegraph, наголошуючи, що постраждали лише активи, що належали вирішувачу.

Протокол також зазначив, що він не контролює інфраструктуру, якою керують незалежні вирішувачі, що виконують обміни в мережі.

Зусилля з відновлення тривають за участю компаній з безпеки

Garden повідомила, що залучила компанії з безпеки блокчейнів та реагування на інциденти zeroShadow, Quantstamp та Blockaid для відстеження викрадених активів та підтримки зусиль з відновлення.

Разом з цими розслідуваннями компанія заявила, що очікує відновлення нормальних послуг після завершення додаткових перевірок безпеки, хоча терміни повного відновлення роботи додатка не були надані.

Протокол додав, що його негайні пріоритети включають забезпечення безпеки постраждалої інфраструктури, відстеження активів скомпрометованого вирішувача та забезпечення завершення всіх необхідних перевірок безпеки перед відновленням послуг.

Garden також посилалася на нещодавно завершену атестацію SOC 2 Type II, заявляючи, що сертифікація демонструє постійні інвестиції в операційний контроль та процеси безпеки, навіть незважаючи на те, що останній інцидент стався через інфраструктуру, керовану незалежним учасником мережі.

Останнє розкриття інформації відбулося лише через кілька днів після того, як сінгапурська компанія з платежів стейблкоїнами Triple-A підтвердила несанкціонований доступ до корпоративних гаманців, що призвів до втрати корпоративних цифрових активів, тоді як кошти клієнтів залишилися неушкодженими.

За словами Triple-A, інцидент 25 липня торкнувся лише корпоративних казначейських активів, оскільки кошти клієнтів зберігаються окремо на захищених трастових рахунках, а не всередині корпоративних гаманців. Компанія тимчасово перевела деякі послуги в режим обслуговування, перш ніж відновити нормальні платіжні операції після додаткових перевірок безпеки.

Triple-A також заявила, що працює зі спеціалістами з блокчейн-криміналістики, експертами з кібербезпеки та поліцією Сінгапуру для розслідування порушення та відстеження викрадених активів. Хоча блокчейн-дослідники оцінили втрати приблизно в $11,8 мільйона, компанія не підтвердила загальну суму або не розкрила, як стався несанкціонований доступ.

Останнє розкриття інформації від Garden також слідує за попереднім інцидентом безпеки, що стосувався одного з її незалежних вирішувачів.

За даними протоколу, зловмисник скомпрометував операційне середовище іншого вирішувача в жовтні 2025 року та викрав приблизно $11,4 мільйона. Garden заявила, що ця атака також не торкнулася її протокольних контрактів або не поставила під загрозу кошти користувачів, оскільки компрометація залишалася обмеженою операційним середовищем вирішувача, а не самим протоколом.

Остання атака додається до серії інцидентів безпеки, зафіксованих у криптосекторі протягом 2026 року.

Минулого тижня децентралізований фінансовий протокол Lien Finance повідомив про втрату приблизно 542 144,63 USDC після того, як зловмисники експлуатували слабкі місця в його логіці перевірки та ціноутворення облігацій. Фірма з безпеки блокчейнів SlowMist заявила, що виявлена ​​вразливість дозволила створювати непідтримувані токени облігацій та обмінювати їх на реальну ліквідність USDC без використання необхідного забезпечення.