Firma zajmująca się bezpieczeństwem blockchaina Blockaid wykryła exploit w Cozy Finance na Optimism wczesnym rankiem w poniedziałek. Atakujący wyprowadził około 170 000 USD i przeniósł środki na inny blockchain w ciągu 13 minut.
Cozy Finance prowadzi rynki ochrony, na których użytkownicy mogą kupić zabezpieczenie przed awariami w DeFi. W wyniku wcześniejszego ataku na Optimism w sierpniu 2025 r. protokół stracił około 427 000 USD.
Atakujący przeniósł środki na inny blockchain w 13 minut
Z danych eksploratora OP Mainnet wynika, że transakcja wykorzystująca lukę została zarejestrowana w poniedziałek o 05:43 UTC. W jej ramach z protokołu wyprowadzono około 163 326 USDC.e w 63 transferach tokenów.
W tej samej transakcji spalono około 1,6 miliona Cozy PToken (CPT). Następnie atakujący zatwierdził token i o 05:56 UTC przesłał środki przez most.
Środki zostały przeniesione, zanim Blockaid opublikował alert. Z danych eksploratora wynika, że od tego czasu nie odnotowano dalszych ruchów z tego portfela.
Atakujący przygotowywał się do niego z dużym wyprzedzeniem. Z danych wynika, że kontrakt atakujący uruchomiono 2 września, pięć dni przed wyprowadzeniem środków. Portfel otrzymał pierwsze środki od solvera Relay.
Blockaid wskazał również Cozy Set (CSET) jako kontrakt tokena, który został wykorzystany. Kontrakt ten nadal nie jest zweryfikowany i wciąż przechowuje około 4168 USD w USDC.e.
Exploit Cozy Finance powtarza błąd z 2025 roku
To nie pierwsza strata tego protokołu na Optimism. Jak ustaliła firma zajmująca się bezpieczeństwem Verichains, w sierpniu 2025 r. atakujący przejął około 427 000 USD.
Błąd tkwił w kodzie wypłat, który nie sprawdzał, kto zrealizował wykup. Cozy Finance zajmuje teraz piąte miejsce wśród protokołów ubezpieczeniowych na DefiLlama, z aktywami o wartości około 1,3 mln dolarów.
DefiLlama wykazywała około 172 tys. dolarów po stronie Optimism. Wygląda więc na to, że atakujący wyprowadził stamtąd niemal całą pulę środków.
Podobne ataki wciąż dotykają kolejne projekty DeFi. W zeszłym tygodniu Notional Finance stracił 1,73 mln dolarów z powodu błędu przepełnienia liczby całkowitej. Kilka dni wcześniej Full Sail zakończył działalność po tym, jak atakujący przejął około 91 tys. dolarów.
W poniedziałek doszło również do znacznie większego incydentu. Z Liquid Network wyprowadzono bitcoiny o wartości około 320 mln dolarów, a sprawcy zadeklarowali w łańcuchu, że działają w dobrej wierze.
Wstępne szacunki strat często jednak ulegają zmianom. Blockaid początkowo oszacował straty po sierpniowym ataku na Flow na 9,3 mln dolarów, zanim sieć określiła szkody na około 410 tys. dolarów.
Blockaid zapowiedział więcej szczegółów w miarę śledzenia przepływu środków. Kwota jest niewielka, ale drugi atak na tym samym łańcuchu rodzi poważniejsze pytania.
Źródło: BeInCrypto
