Garden Finance 遭攻擊！45萬美元損失，使用者資金真的安全嗎？資安專家解讀事件全貌

又是跨鏈橋！這次輪到 Garden Finance

老實說，如果你有在關注 DeFi 圈子，這幾年應該對「跨鏈橋被駭」這種新聞有點麻木了。但這次 Garden Finance 的事件還是有一些細節值得我們好好聊一聊。

事情是這樣的：Blockaid 在上週日發布警告，說 Garden Finance 的 HTLC（雜湊時間鎖合約）在 Ethereum、Base、Arbitrum 和 BNB Smart Chain 四條鏈上被人掏走了大約 45 萬美元的 USDT。訊息一出，許多人第一個反應就是：完了，又是 protocol 被攻破，使用者的血汗錢又要蒸發了。

但事情好像沒有那麼糟——至少 Garden Finance 官方是這樣說的。

攻擊真相：不是智慧合約的問題

根據 Garden Finance 發言人向 Cointelegraph 提供的宣告，這次事件和他們的 protocol 智慧合約一點關係都沒有。駭客並不是直接攻破合約程式碼，而是滲透了一名獨立 solver 的離線資料庫，在裡面植入了假的 swap 記錄。

這句話是什麼意思？讓我翻譯成白話一點：Garden Finance 的運作模式中，有一種角色叫「solver」，負責處理跨鏈原子交換的撮合工作。這個 solver 有自己的資料庫，裡面記錄了哪些交易已經完成、哪些還沒。駭客黑進這個資料庫後，亂寫了一些「已完成」的假記錄，讓系統以為某筆交易已經完成，於是把錢放出去了——但實際上對方根本沒打錢進來。

有點像是你去銀行匯款，櫃員偷偷把你的匯款記錄改成「已收到」，然後把錢領出來給你。問題出在「人」身上，不是「系統」本身。

使用者資金到底有沒有事？

這應該是大家最關心的問題。Garden Finance 強調好幾次：沒有任何使用者的資金受損或處於風險中，這次事件影響的只有 solver 自己擁有的資產。

聽起來有點詭異對吧？讓我再解釋一下：因為這筆被盜的 USDT 來自於 solver 在執行 swap 時墊付的資金，而不是從使用者的口袋裡拿出來的。簡單說，這就像是券商用自己的錢被坑了一筆，但客戶的資產完好無缺。

不過 Garden Finance 目前還在確認最終的損失金額、涉及哪些資產，以及具體在哪些網路上受影響。他們說服務暫停純粹是預防性措施，等受影響的基礎設施隔離並審查完畢就會重新上線。

Garden Finance 的資安成績單

說到這裡，不能不提 Garden Finance 最近的資安動作。他們才剛剛拿到 SOC 2 Type II 認證，這是一種對企業資安管理和營運控制能力的國際標準認證。 Garden 拿這個出來，意思是他們在資安方面確實有投入資源，不是那種隨便寫寫的白皮書專案。

而且這次事件後，他們立馬找了 zeroShadow、Quantstamp 和 Blockaid 三家資安公司來幫忙追蹤和追回資金。這種反應速度，以 DeFi 專案來說算是蠻積極的。

但有趣的是，這已經不是 Garden Finance 第一次出這種事了。2025 年 10 月，他們也曾經被駭過一次，當時被拿走約 1140 萬美元。根據當時的說法，那次也是因為某個 solver 的營運環境被入侵，一樣沒有傷到 protocol 合約或使用者資金。

所以現在的局面就有點微妙：Garden 一直強調「我們的合約沒問題」，但兩次被駭都跟 solver 有關。這是否意味著他們的架構設計有結構性的弱點？這個問題可能需要他們未來用更多行動來回答。

這次事件給我們的啟示

老實講，每次看到這種新聞，我都想提醒大家：DeFi 世界的「安全」從來都不是絕對的。當一個協議說「使用者資金沒事」的時候，你需要問的是：那是因為他們的設計真的很安全，還是單純運氣好？

以下幾點是我覺得值得你記住的：

• 離線元件也是攻擊面：很多人以為 DeFi 就是智慧合約，合約沒被駭就沒事。但現實中，很多協議都有 off-chain 的元件——API、資料庫、server——這些東西被駭，同樣可以造成損失。
• Solver 模型有風險：Garden Finance 使用獨立 solver 來處理交易，這種設計雖然提升了效率，但相對地擴大了攻擊面。每多一個節點，就多一個可能被突破的地方。
• 「使用者資金安全」不等於「系統安全」：即使這次沒有使用者受害，下次呢？攻擊者的技術只會越來越強。
• 認證不代表免疫：即使有 SOC 2 Type II，該被駭還是會被駭。認證是加分項，但不是保命符。

FAQ 常見問題

Garden Finance 被盜的 45 萬美元是誰的錢？

根據官方說法，這筆錢是 solver 自己墊付的資產，並非使用者存放的資金。所以一般使用者的資金並沒有受到影響。

這次攻擊是怎麼發生的？

駭客入侵了一名獨立 solver 的 off-chain 資料庫，在裡面植入了虛假的 swap 記錄，導致系統錯誤地釋放了資金。這不是智慧合約本身的漏洞。

Garden Finance 的服務什麼時候會恢復？

官方表示他們正在進行安全檢查，預計很快就會恢復服務，但沒有給出具體的時間表。

我現在應該把資金從 Garden Finance 撤出來嗎？

如果你已經在使用 Garden Finance，建議關注他們的官方公告。目前官方強呼叫戶資金安全，但任何投資都有風險，請自行評估。

這是 Garden Finance 第一次被攻擊嗎？

不是。2025 年 10 月他們曾經發生過一次類似事件，當時被盜約 1140 萬美元。同樣地，官方也聲稱使用者資金未受影響。

結語

DeFi 世界就是這樣，永遠在創新跟風險之間走鋼絲。Garden Finance 這次運氣不錯，使用者資金沒事，但他們必須證明自己有能力避免下一次。

對於我們這些使用者來說，最好的策略還是：不要把所有雞蛋放在同一個籃子裡，永遠假設任何平臺都可能出問題。這樣不管發生什麼事，你都能從容應對。