Garden Finance 正在调查一起漏洞事件。据 Blockaid 称，一名攻击者从多个网络上与 Garden 相关的哈希时间锁定合约（hash time-locked contracts，简称 HTLCs）中抽走了约 450,000 美元的 USDT，该事件据称影响了与其跨链桥和原子交换系统相关的基础设施。该事件促使 Garden 暂时暂停其服务，同时隔离并审查相关系统。

Garden 对该事件的最初定性提出了异议。该公司表示，其协议和链上 HTLC 智能合约并未遭到攻破。相反，Garden 将该事件归因于对一个独立 solver 链下数据库的入侵，据称攻击者在其中插入了欺诈性交易记录，随后导致了错误的兑换释放。

Blockaid 对事件的说法

周日早些时候，Blockaid 表示该漏洞仍在进行中，涉及 Garden 用于协调原子交换的基于 Ethereum 的 HTLCs。在公开更新中，Blockaid 报告称，攻击者从部署在 Ethereum、Base、Arbitrum 和 BNB Smart Chain 上的 Garden HTLCs 中抽走了约 450,000 美元的 USDT。

HTLCs 是有时间限制的托管合约，旨在仅在满足特定条件时释放资产。它们通常用于跨越多个区块链的原子交换，因为它们有助于在交易双方无需直接互相信任的情况下协调结算。

Blockaid 还公布了其认为与攻击者相关的地址，以及其认为受影响的合约。根据 Blockaid 的描述，该漏洞针对的是多个网络上与 Garden 相关的 HTLCs，而不是单一部署。

Garden 称链上合约未被攻破

Garden Finance 否认其核心协议合约已遭攻破的说法。一名发言人告诉 Cointelegraph，Garden 协议及其 HTLC 智能合约均未遭到入侵。

据 Garden 称，攻击者获得了一个独立 solver 链下数据库的访问权限，并插入了伪造的交易记录。Garden 表示，这些错误记录导致该 solver 为实际并未由预期交易对手方提供资金的兑换释放了资金。

在跨链兑换系统中，solver 通常是帮助执行或完成兑换的运营参与方，其系统可能保存用于判断交易是否应继续进行的记录。即使智能合约代码本身没有被更改，这一角色也使 solver 端基础设施的完整性变得相关。

该公司表示，没有用户资金损失，用户资金也未面临风险。Garden 称，影响仅限于该 solver 拥有的资产。该公司还表示，仍在确认该事件的完整范围，包括涉及的总金额、受影响资产以及与事件相关的具体网络。

Garden 的解释将协议的链上组件与 solver 使用的链下基础设施区分开来。尽管 HTLCs 在链上执行，跨链兑换系统通常依赖链下系统来协调活动、跟踪兑换状态并触发结算步骤。按照 Garden 的说法，链上合约保持完整，但某个 solver 使用的链下数据被操纵，从而导致结算错误发生。

安全审查期间服务暂停

Garden 已出于预防目的暂停服务，同时隔离并检查疑似受影响的基础设施。该公司表示，正在与 zeroShadow、Quantstamp 和 Blockaid 合作追踪并追回资金。

Garden 表示，预计在安全检查完成后很快恢复服务，但未提供具体时间表。该公司称，其优先事项是保护受影响系统、追踪 solver 的资金，并且仅在相关审查完成后恢复服务。

Garden 还提及其 SOC 2 Type II 认证，作为其安全和运营控制的证据。SOC 2 Type II 报告评估的是一段审查期内的控制措施，但其本身并不能确定某一具体安全事件的原因或范围。该公司将该事件描述为在其更广泛的独立 solver 网络中，局限于一个 solver 的链下基础设施。

链下系统仍是跨链风险的一部分

该事件凸显出，跨链协议可能同时依赖智能合约和运营基础设施。即使链上托管逻辑没有被更改，当链下数据库、访问控制和交易记录会影响资金是否释放时，它们也可能成为重要攻击面。

Garden 的即时回应——暂停服务并隔离疑似受影响的基础设施——反映出运营层面的妥协可能导致链上资金流动的风险。合约层面漏洞与 solver 层面数据泄露之间的区别也可能影响修复工作，因为解决问题不仅需要阻止进一步的错误释放，还需要验证兑换状态，并确认同样的故障模式不会再次发生。

此前与 solver 相关的漏洞事件

此次报告的事件发生在 Garden 于 2025 年 10 月披露的一起先前事件之后。在那起事件中，Garden 表示，一名攻击者在攻破其一个 solver 的运行环境后盗走了约 1,140 万美元。Garden 称，早前那次入侵同样没有攻破其协议合约，也没有使用户资金面临风险。

两起事件合在一起，使外界更加关注第三方 solver 环境的安全状况和隔离程度，以及跨链结算中使用的链下数据完整性。在安全公司协助调查期间，Garden 正继续追踪资金并验证受影响的兑换记录。

Garden 尚未就最新事件提供最终确认的总额、完整的受影响资产清单，或对所有涉事网络作出最终判定。全面恢复服务的时间仍取决于其安全检查的完成情况。