Garden Finance perd $450K lors d’une exploitation active sur quatre chaînes blockchain

La société de sécurité Web3 Blockaid a détecté une faille d’exploitation active visant les smart contracts de Garden Finance, dérobant environ 450 000 dollars en USDT sur quatre blockchains compatibles EVM. L’attaque a touché des contrats sur Ethereum, Base, Arbitrum et BNB Chain, et était toujours en cours au moment de la détection. L’exploit cible des Hash Time Locked Contracts (HTLCs) utilisés pour des échanges atomiques cross-chain, permettant à l’attaquant de vidanger directement l’USDT de ces contrats sur plusieurs chaînes simultanément. Garden Finance avait déjà perdu une estimation de 10,8 millions à 11 millions de dollars lors d’une précédente brèche distincte à la fin de l’an dernier, attribuée à un solveur compromis, ce qui soulève des questions sur l’infrastructure de sécurité du protocole face à différents vecteurs d’attaque.

Blockaid identifie une vulnérabilité de contrats HTLC sur quatre chaînes

Garden Finance utilise des Hash Time Locked Contracts (HTLCs) pour faciliter des échanges atomiques cross-chain. Les HTLCs fonctionnent comme des mécanismes de séquestre numérique avec des minuteries : deux parties verrouillent des actifs sur des chaînes différentes, et l’échange ne se termine que si les deux côtés remplissent les conditions avant l’expiration du temps. Blockaid a identifié que l’attaquant a dérobé l’USDT directement depuis ces contrats HTLC sur plusieurs chaînes simultanément. La dimension multi-chaînes de l’exploitation suggère une vulnérabilité dans la logique du contrat elle-même ou dans la manière dont il a été déployé sur différents réseaux, plutôt qu’un simple bug isolé sur un déploiement unique. Le chiffre de 450 000 dollars est nettement inférieur à l’incident de fin 2025.

Garden Finance enregistre un second incident de sécurité majeur

La précédente attaque, attribuée à un solveur compromis, a entraîné des pertes comprises entre 10,8 millions et 11 millions de dollars. Garden Finance avait déclaré à l’époque que les fonds des utilisateurs n’étaient pas affectés par cette brèche. La brèche de fin 2025 a été retracée à un solveur compromis plutôt qu’à une vulnérabilité d’un smart contract. Cet exploit récent semble viser les contrats eux-mêmes, ce qui signifie que Garden Finance a subi des types d’attaques fondamentalement différents à différents niveaux de son infrastructure. Le protocole fonctionne sur Ethereum, Solana, Base, Arbitrum et BNB Chain, avec comme proposition de valeur centrale de permettre des swaps cross-chain rapides, en particulier entre Bitcoin et USDT.

Le protocole fait l’objet d’audits par trois sociétés de sécurité

Garden Finance a fait l’objet d’audits par Trail of Bits, OtterSec et Zellic, trois des sociétés de sécurité les plus réputées du secteur crypto. Blockaid a signalé qu’il s’agit d’une attaque en cours, ce qui signifie que la vulnérabilité aurait pu être activement exploitée au moment de la détection. Garden Finance supporte désormais le poids de deux incidents de sécurité majeurs en moins d’un an. Le premier a coûté environ 11 millions de dollars, tandis que celui-ci semble plus faible à 450 000 dollars.

FAQ

Quel est le statut actuel de l’exploit de Garden Finance ?
Blockaid a détecté une exploitation active dérobant environ 450 000 dollars en USDT depuis les smart contracts HTLC de Garden Finance sur Ethereum, Base, Arbitrum et BNB Chain. L’attaque était en cours au moment de la détection.

En quoi l’exploit actuel diffère-t-il de la précédente brèche de sécurité de Garden Finance ?
La brèche de fin 2025, qui a entraîné des pertes comprises entre 10,8 millions et 11 millions de dollars, a été attribuée à un solveur compromis. Cet exploit récent cible les smart contracts HTLC eux-mêmes, ce qui correspond à un type d’attaque différent sur un autre niveau de l’infrastructure du protocole.

Quelles sociétés de sécurité ont audité Garden Finance ?
Garden Finance a fait l’objet d’audits par Trail of Bits, OtterSec et Zellic.