L'entreprise de sécurité blockchain Blockaid a signalé une exploitation de Cozy Finance sur Optimism lundi matin. L'attaquant a vidé environ 170 000 $ et transféré les fonds hors de la plateforme en 13 minutes.
Cozy Finance gère des marchés de protection qui permettent aux utilisateurs d'acheter une couverture contre les défaillances DeFi. Une attaque précédente sur Optimism a coûté au protocole environ 427 000 $ en août 2025.
L'attaquant a transféré l'argent en 13 minutes
La transaction d'exploitation a été enregistrée à 05:43 UTC lundi, selon les données de l'explorateur OP Mainnet. Elle a transféré environ 163 326 USDC.e hors du protocole à travers 63 transferts de jetons.
Dans le même temps, la même transaction a brûlé environ 1,6 million de Cozy PToken (CPT). L'attaquant a ensuite approuvé un jeton et transféré les fonds via une passerelle à 05:56 UTC.
Cet retrait a eu lieu avant que Blockaid ne publie son alerte. Les enregistrements de l'Explorateur ne montrent aucun autre mouvement depuis ce wallet.
L'attaquant s'est également bien préparé à l'avance. Les registres indiquent que le contrat d'attaque est devenu actif le 2 septembre, cinq jours avant le retrait. Le wallet a tiré ses premiers fonds d'un solveur Relay.
Blockaid a également identifié Cozy Set (CSET) comme le contrat de jeton abusé. Ce contrat reste non vérifié et contient toujours environ 4 168 $ en USDC.e.
Exploitation de Cozy Finance répète un échec de 2025
Ce n'est pas la première perte du protocole sur Optimism. Un attaquant a volé environ 427 000 $ en août 2025, selon la société de sécurité Verichains.
La faille se trouvait dans le code de retrait, qui ne vérifiait jamais qui avait effectué un rachat. Cozy Finance se classe désormais cinquième parmi les protocoles d'assurance sur DefiLlama, avec environ 1,3 million de dollars.
DefiLlama a répertorié environ 172 000 $ du côté Optimism. Par conséquent, l'attaquant semble avoir récupéré presque l'intégralité du déploiement là-bas.
Des attaques similaires continuent de frapper le secteur DeFi. Notional Finance a perdu 1,73 million de dollars la semaine dernière à cause d'un bug de débordement d'entier. Quelques jours plus tôt, Full Sail a mis fin à ses opérations après qu'un attaquant ait volé environ 91 000 dollars.
Lundi a également apporté un cas bien plus important. Environ 320 millions de dollars en bitcoin ont quitté le Liquid Network, et les acteurs ont revendiqué des intentions de white hat sur la chaîne.
Cependant, les chiffres initiaux de perte évoluent souvent. Blockaid a d'abord évalué l'exploit d'August Flow à 9,3 millions de dollars, avant que le réseau ne révise les dégâts à environ 410 000 dollars.
Blockaid a promis plus de détails alors qu'il suit l'argent. La somme est faible, mais une deuxième violation sur la même chaîne soulève des questions plus difficiles.