Garden Finance 遭攻擊！45萬美元瞬間蒸發：使用者資金真的安全？

老實說，每次看到這種新聞，我的心都會緊一下。45萬美元，說多不多，說少不少，但真正讓我害怕的，是背後那個「看起來沒事」的系統性問題。

攻擊細節：不是合約被駭，是資料庫被搞鬼

根據 Blockaid 的報告，這次 Garden Finance 被撈走的金額約 45 萬美元 USDT，受影響的鏈包括 Ethereum、Base、Arbitrum 和 BNB Smart Chain。聽起來很嚴重對吧？但 Garden 官方立刻跳出來消毒：

「我們的合約沒事，使用者的資金沒事。」

這句話你聽聽就好，我來拆給你看。

攻擊者到底怎麼得手的？

Garden Finance 用的機制是 HTLC（Hash Time-Locked Contracts），中文叫「雜湊時間鎖合約」。這種設計是用來做跨鏈原子交換的，簡單說就是讓比特幣和其他鏈上的資產能夠安全互換。

問題來了：攻擊者沒有直接駭進智慧合約，而是駭進了獨立求解者（independent solver）的離鏈資料庫。翻成白話文，就是他們打下了負責處理交易資料的「後端系統」，然後偷偷塞入假的swap記錄。

想像一下：你去銀行匯款，櫃檯沒問題，但資料庫被改過，銀行以為對方已經匯錢給你，於是把你的錢放行——結果對方根本沒匯。這就是這次攻擊的邏輯。

45萬美元蒸發，但使用者資金沒事？

Garden 的宣告說，這次事件隻影響到「求解者擁有的資產」，使用者的資金「沒有損失，也沒有風險」。聽起來像是好訊息，但等等——

• 求解者是誰？在 Garden 的架構裡，求解者是負責撮合交易的第三方節點。他們的資產也是使用者的嗎？理論上不是，但實際上，這些資產池如果有缺口，會不會最後影響到整個系統？
• 攻擊仍在進行中？Blockaid 當初把這次事件標記為「 ongoing」（正在進行），後來才確認攻擊已經發生。這個時間差裡，有多少資金流動？我們不知道。
• 這不是第一次。2025年10月，Garden Finance 曾經發生過類似的攻擊，當時被盜走了約 1140 萬美元。一樣的模式——攻擊者入侵了求解者的操作環境。歷史會重演嗎？

我從這次事件學到的三件事

如果你也是幣圈人，或者打算把資金放進任何 DeFi 協議，這幾點請筆記：

1. 「合約沒被駭」不代表「系統安全」
   離鏈資料庫、後端系統，這些傳統資安弱點在區塊鏈世界一樣致命。這次 Garden 的智慧合約完好，但攻擊者從後門殺進來，一樣能把錢轉走。
2. 求解者風險（Solver Risk）是被低估的灰犀牛
   很多跨鏈協議依賴第三方求解者來完成交易，但你真的知道他們的資安水準嗎？這次事件給了我們一個血淋淋的答案：不知道，而且很危險。
3. SOC 2 Type II 是不夠的
   Garden 特別強調他們剛透過了 SOC 2 Type II 認證，彷彿這是護身符。但老實說，SOC 2 認證的是「流程合規」，不是「不可能被駭」。上一次的攻擊也是發生在認證之後。

接下來會怎麼樣？

Garden 表示已經找來 zeroShadow、Quantstamp 和 Blockaid 協助追蹤和追回資金，服務暫時下線進行安全檢查。官方說「預計很快就會恢復」，但沒有給出具體時間表。

我的建議？先觀察再說。如果你是 Garden 的使用者，至少在官方公佈完整的攻擊報告之前，別急著把資金放回去。這個圈子不缺「說沒事但後來發現有事」的故事。

FAQ 常見問題

Garden Finance 這次被盜多少錢？

根據 Blockaid 的報告，攻擊者從 Garden 的 HTLC 合約中撈走了約 45 萬美元的 USDT，受影響的鏈包括 Ethereum、Base、Arbitrum 和 BNB Smart Chain。

Garden Finance 的使用者資金安全嗎？

Garden 官方聲稱這次事件隻影響到求解者擁有的資產，使用者資金沒有損失。但這已經是該協議在一年內發生的第二起類似攻擊，建議使用者保持警覺。

什麼是離鏈資料庫攻擊？

離鏈資料庫是區塊鏈應用中用來儲存交易資料但不在區塊鏈上的系統。攻擊者入侵這些資料庫並植入假交易紀錄，欺騙協議執行原本不應該被執行的交易。

HTLC 是什麼？

HTLC（Hash Time-Locked Contracts，雜湊時間鎖合約）是一種智慧型合約，確保只有在接收方提供正確的密碼（雜湊值原像）且在時間限制內，才能完成資產轉帳常用於原子交換。

Garden Finance 之前有類似攻擊嗎？

有的。2025年10月，Garden Finance 發生過類似的攻擊，當時攻擊者透過入侵求解者的操作環境，盜走了約 1140 萬美元。官方同樣聲稱使用者資金沒有受到影響。