Web3のセキュリティ企業Blockaidは、Garden Financeのスマートコントラクトを狙う稼働中のエクスプロイトを検知し、4つのEVM互換ブロックチェーンで約$450,000相当のUSDTが流出したと報告した。攻撃はEthereum、Base、Arbitrum、BNB Chain上のコントラクトに及び、検知時点でも継続していた。このエクスプロイトは、クロスチェーンのアトミックスワップに使用されるハッシュ・タイムロック・コントラクト（HTLC）を対象としており、複数チェーンに同時にまたがって、これらのコントラクトからUSDTを直接奪えるようにしている。Garden Financeは先に、昨年末に別の侵害で推定$10.8 million〜$11 millionを失っており、その原因はコンプロマイズされたソルバーだったとされている。これにより、プロトコルのセキュリティ基盤が異なる攻撃ベクトルに対してどの程度機能しているのかが疑問視されている。
Blockaidが4つのチェーンにまたがるHTLCコントラクトの脆弱性を特定
Garden Financeは、クロスチェーンのアトミックスワップを促進するためにハッシュ・タイムロック・コントラクト（HTLC）を使用している。HTLCはカウントダウンタイマー付きのデジタル預託（エスクロー）メカニズムとして機能し、異なるチェーン上で2者が資産をロックし、時間切れになる前に双方が条件を満たした場合にのみスワップが完了する。Blockaidは、攻撃者が複数チェーンにまたがってこれらのHTLCコントラクトからUSDTを直接流出させたことを特定した。複数チェーン型のこの攻撃は、単一のデプロイで起きた単発のバグというより、コントラクトロジック自体、あるいは異なるネットワークへの展開方法に脆弱性があることを示唆している。$450,000という金額は、2025年後半の一件よりも明らかに小さい。
Garden Financeが2度目の主要なセキュリティインシデントを記録
先の攻撃は、コンプロマイズされたソルバーに起因するとされ、損失は$10.8 million〜$11 millionの間だった。Garden Financeは当時、その侵害によってユーザー資金は影響を受けていないと主張していた。2025年後半の侵害は、スマートコントラクトの脆弱性ではなく、コンプロマイズされたソルバーにまで追跡された。今回の最新エクスプロイトは、コントラクトそのものを狙っているように見える。つまり、Garden Financeはインフラの異なるレイヤーで、根本的に異なるタイプの攻撃を受けていることになる。プロトコルはEthereum、Base、Arbitrum、BNB Chainにまたがって稼働しており、とりわけBitcoinとUSDTの間の高速なクロスチェーン・スワップを可能にすることが中核となる価値提案だ。
プロトコルは3つのセキュリティ企業による監査を受けた
Garden Financeは、暗号資産分野で最も信頼されるセキュリティ企業のうちTrail of Bits、OtterSec、Zellicの3社による監査を受けている。Blockaidはこれを進行中の攻撃としてフラグ付けしており、検知時点で脆弱性が実際に悪用可能だった可能性がある。Garden Financeは1年未満で2つの大きなセキュリティインシデントの重みを負っている。1件目はおよそ$11 millionで、今回は$450,000と見られている。
よくある質問
Garden Financeのエクスプロイトの現在の状況は？
Blockaidは、Ethereum、Base、Arbitrum、BNB Chainにおいて、Garden FinanceのHTLCスマートコントラクトからUSDTを約$450,000分流出させる稼働中のエクスプロイトを検知した。攻撃は検知時点でも継続していた。
今回のエクスプロイトは、Garden Financeの過去のセキュリティ侵害とどう違う？
2025年後半の侵害では、損失は$10.8 million〜$11 millionの間で、コンプロマイズされたソルバーに起因するとされた。今回の最新エクスプロイトはHTLCスマートコントラクトそのものを対象としており、プロトコルのインフラの別レイヤーに対する別タイプの攻撃を示している。
Garden Financeを監査したセキュリティ企業はどこ？
Garden FinanceはTrail of Bits、OtterSec、Zellicによる監査を受けている。
