Das Cross-Chain-Bridge-Protokoll Garden Finance hat nach einem Sicherheitsalarm am 26. Juli Ortszeit den App-Betrieb vollständig eingestellt. Das Blockchain-Sicherheitsunternehmen Blockaid legte am selben Tag offen, dass rund 450.000 USD in USDT-Gegenwert aus den Hash-Time-Lock-Contracts (HTLC) von Garden Finance abgeflossen sind, betroffen waren vier Netzwerke: Ethereum, Base, Arbitrum und BNB Smart Chain. Blockaid veröffentlichte die Adresse des Angreifers sowie die betroffenen Vertragsadressen bereits, während der Angriff noch lief. Garden Finance bezeichnete den Stillstand als vorsorgliche Maßnahme, um “die betroffene Infrastruktur zu isolieren und zu überprüfen”. Das koreanische Medium Tokenpost berichtet unter Berufung auf Cointelegraph, dass das Problem auf die Kontenführungsebene der Solver (Vermittlungsstelle) zurückgeht – Originalbericht von Tokenpost.
Redaktionelle Einordnung: Nicht das Kartenguthaben ist betroffen, sondern der Einzahlungsweg
Zunächst die Abgrenzung: Dies ist kein Vorfall beim Kartenaussteller und auch kein Problem von USDT selbst. Die Reserven von Tether sowie die Verträge auf Omni/TRC20/ERC20 in den jeweiligen Netzwerken bleiben unverändert. Mit 450.000 USD handelt es sich im Vergleich zu anderen Bridge-Vorfällen um einen kleinen Betrag, der keinen beobachtbaren Effekt auf den USDT-Sekundärmarktpreis hat.
Was für USDT-Karten-Nutzer tatsächlich relevant ist, ist die On-Chain-Herkunft (Provenance) der Mittel. Bei den meisten USDT-Virtual-Cards läuft der Einzahlungsweg wie folgt: Börse oder Wallet → On-Chain-Überweisung → Treuhandadresse des Kartenausstellers. Wer gewohnheitsmäßig Cross-Chain-Bridges nutzt, um Vermögenswerte von Base/Arbitrum in ein vom Kartenaussteller unterstütztes Einzahlungsnetzwerk (meist TRC20 oder ERC20) zu bewegen, dessen Mittel könnten – falls sie um den 26. Juli herum über Garden Finance liefen – in einer theoretisch sehr geringen Wahrscheinlichkeit über indirekte Hops mit markierten Adressen in Verbindung stehen. Kartenaussteller und die dahinterstehenden Acquirer setzen üblicherweise Screening-Dienste wie Chainalysis, Elliptic oder TRM ein. Wird eine Einzahlung erkannt, die “N Hops von einer markierten Adresse entfernt” liegt, folgt in der Regel keine Kartensperrung, sondern eine vorübergehende Zurückhaltung der Einzahlung plus Aufforderung zum Nachweis der Mittelherkunft.
Erwartbarer zeitlicher Ablauf:
- Innerhalb von 7 Tagen: Ob die App von Garden Finance wieder verfügbar ist und ob ein Entschädigungsplan veröffentlicht wird; Aggregatoren, die diese Bridge einbinden (Routing-Layer wie 1inch, LI.FI), werden die Route vorübergehend deaktivieren. In diesem Zeitraum sollte diese Route nicht für USDT-Cross-Chain-Transfers genutzt werden.
- Innerhalb von 30 Tagen: Die gängigen Screening-Anbieter schließen die Ausweitung der Markierung des Angreifer-Adressclusters ab. Wer in dieser Zeit über die Bridge eingezahlt hat, hat das höchste Risiko einer Rückfrage.
- Innerhalb von 90 Tagen: Die Auswirkungen klingen weitgehend ab, sofern kein zweiter Vorfall auftritt oder die Mittel nachweislich in einen Mixer geflossen und breit gestreut worden sind.
Zur Einschätzung einzelner Karten: Nutzer, die über die asiatisch-pazifische Route mit direkter Aufladung über das MPChat-interne Wallet arbeiten – MPCard (Asia-Elite-Variante) –, und die stets über den Weg “Börsen-Auszahlung → Direktaufladung” gehen, sind von diesem Vorfall nicht betroffen und müssen nichts unternehmen. Wer Vermögenswerte über mehrere L2s verteilt und gewohnheitsmäßig über Bridges bündelt, bevor er auflädt, sollte – egal ob mit Bybit Card oder OKX Card – diese Woche lieber auf interne Börsenüberweisungen umsteigen (ohne On-Chain-Hop und ohne zusätzliche Screening-Hops) statt Drittanbieter-Bridges zu nutzen. Wer nicht versteht, warum der Einzahlungsweg die Kartenprüfung beeinflusst, findet Hintergründe zu Treuhandadressen und Einzahlungsprüfung in Was ist eine U-Karte.
Historischer Vergleich: klein, schnell, gut zuordenbar – anders als die Bridge-Katastrophen von 2022
Im Spektrum der Bridge-Vorfälle betrachtet: Ronin (2022, rund 625 Mio. USD), Wormhole (rund 325 Mio. USD) und Nomad (rund 190 Mio. USD) beruhten darauf, dass das Validator-Set oder die Nachrichtenvalidierungslogik vollständig umgangen wurde – die Beträge waren groß genug, um ein Liquiditätsereignis auf Ökosystemebene auszulösen. Der Multichain-Vorfall von 2023 hingegen war ein Kontrollverlust über private Schlüssel des Betreibers, wodurch eine große Menge gebrückter Vermögenswerte (inklusive gebrücktem USDT/USDC) die zugrunde liegende Einlösbarkeit verlor – viele Nutzer blieben mit nicht mehr einlösbaren Wrapped Tokens zurück. Das wäre der Fall, der tatsächlich auf Vermögenswerte in U-Karten-Einzahlungen durchschlagen würde.
Diesmal gibt es drei Unterschiede:
- Der Umfang ist klein – 450.000 USD stellen kein Solvenzproblem für das Protokoll dar;
- Angegriffen wurde die HTLC- plus Solver-Buchführungsebene, eine für Intent-/Solver-Architekturen spezifische Vertrauensfläche der Kontoführung, nicht der Verlust privater Verwahrungsschlüssel – die Nutzer halten kein “USDT ohne Deckung”;
- Die Reaktion war schnell: Der Drittanbieter-Monitoringdienst veröffentlichte die Adressen bereits während des laufenden Angriffs, das Projekt stoppte den Betrieb noch am selben Tag.
Was unverändert bleibt: Bridges sind nach wie vor das schwächste Glied im Cross-Chain-Verkehr von Stablecoins. Drei Jahre später hat sich die Angriffsfläche von Multisig- und Nachrichtenvalidierung hin zu Solver- und Vermittlungsbuchführung verschoben, aber die Schlussfolgerung bleibt dieselbe: Jede Cross-Chain-Bewegung von USDT fügt eine weitere potenziell markierbare Historienebene hinzu.
Compliance-Perspektive: Wo liegt die Grauzone
Regulatorisch bringt dieser Vorfall keine neuen Vorschriften, verstärkt aber einen bestehenden Trend: Die Anforderungen von VASPs an die Rückverfolgung der Mittelherkunft bei Einzahlungen weiten sich von der “direkten Gegenpartei” auf mehrstufige Verbindungen aus. Zu den Anforderungen an die Mittelrückverfolgung unter dem Hongkonger VASP-Regime und den Transferregeln siehe unseren Hongkong-Compliance-Leitfaden; zum ähnlichen Ansatz bei DPT-Dienstleistern unter dem MAS-Regime in Singapur siehe unseren Singapur-Compliance-Leitfaden.
Zur Klarstellung der Grenzen: Die Nutzung einer Cross-Chain-Bridge an sich ist in den genannten Jurisdiktionen nicht verboten – das ist eindeutig legaler Bereich. Die Grauzone liegt darin, dass Kartenaussteller berechtigt und verpflichtet sind, eine Erklärung zu verlangen, wenn die On-Chain-Historie einer Einzahlung mit einer öffentlich markierten Angreiferadresse in Verbindung steht, und die Einzahlung einfrieren können, wenn keine Erklärung erfolgt. Das ist keine “Kartensperrung”, bedeutet aber, dass jene 200 ₮, die eigentlich für die Verlängerung eines Abonnements gedacht waren, für einige Tage blockiert sein könnten. Ausdrücklich verboten ist nur eines: die Übertragung oder den Umtausch von Mitteln fortzusetzen, obwohl bekannt ist, dass sie aus gestohlenen Vermögenswerten stammen.
Punkte, die als Nächstes zu beobachten sind
- Der offizielle Nachbericht von Garden Finance: Wird die konkrete Schwachstelle in der Solver-Kontoführung offengelegt, wird ein Entschädigungspool für betroffene Nutzer eingerichtet? (Beobachten Sie garden.finance und die zugehörigen Social-Media-Ankündigungen.)
- Aktualisierungen der Adresscluster durch Blockaid: Ob die Angreiferadresse in einen Mixer fließt, entscheidet über den Umfang der Markierungsausweitung (blockaid.io).
- Wiederherstellungszeitpunkt der Routing-Funktion bei großen Bridge-Aggregatoren: Eine erneute Freischaltung der Route ist üblicherweise ein marktbasiertes Signal für bestandene Sicherheitsprüfungen.
- Ob Kartenaussteller ihre Einzahlungsrichtlinien vorübergehend anpassen: Nach früheren Bridge-Vorfällen haben manche Kartenaussteller kurzfristig die Prüfquote für Einzahlungen aus bestimmten Chains (insbesondere L2s) erhöht, dies aber selten öffentlich kommuniziert. Achten Sie auf Änderungen in der Netzwerkliste auf der Einzahlungsseite.
Redaktionelle Empfehlung
Nutzer von MPCard, die stets über Börsenauszahlungen direkt aufladen: keine Maßnahme erforderlich.
Nutzer, die in den letzten 7 Tagen über Garden Finance eine Cross-Chain-Transaktion durchgeführt und diese USDT in eine beliebige Virtual Card eingezahlt haben: Kein Grund zur Panik, keine aktive Meldepflicht – aber bewahren Sie vollständige Screenshots zur Herkunft dieser Mittel auf (Börsenauszahlungsprotokoll, Bridge-Transaktions-Hash, Zeitstempel). Wer bei einer Rückfrage des Kartenausstellers den vollständigen Nachweis auf einmal vorlegen kann, ist in der Regel innerhalb weniger Werktage wieder freigeschaltet.
Wer diese Woche eine USDT-Cross-Chain-Aufladung plant: Weg ändern. Nutzen Sie bevorzugt interne Börsenüberweisungen zwischen Netzwerken oder heben Sie direkt von der Börse auf einem vom Kartenaussteller unterstützten Netzwerk ab. Drittanbieter-Bridges sollten Vermögenswerten vorbehalten bleiben, für die es keine CEX-Alternative gibt. Das gilt besonders für Leser, die mit der U-Karte feste Abonnements bezahlen – um ein paar US-Dollar Bridge-Gebühren zu sparen, ist es keine gute Wahl, dass die ChatGPT-Plus-Verlängerung (offiziell 20 USD/Monat) am Abbuchungstag blockiert wird.
Was Sie vermeiden sollten: Führen Sie keine neuen Transaktionen mit den Verträgen von Garden Finance durch, bevor eine Wiederherstellungsmeldung vorliegt. Reagieren Sie nicht auf private Nachrichten, die behaupten, “Ihnen zu helfen, Vermögenswerte aus der Bridge zu retten” – nach jedem Bridge-Vorfall tauchen Phishing-Seiten in der Vergangenheit stets schneller auf als der offizielle Nachbericht.