Perusahaan keamanan blockchain Blockaid menandai eksploitasi Cozy Finance di Optimism pada Senin pagi. Penyerang menguras sekitar $170.000 dan mentransfer dana tersebut keluar dalam waktu 13 menit.
Cozy Finance menjalankan pasar perlindungan yang memungkinkan pengguna membeli cakupan terhadap kegagalan DeFi. Serangan Optimism sebelumnya merugikan protokol sekitar $427.000 pada Agustus 2025.
Penyerang Mentransfer Uang Keluar dalam 13 Menit
Transaksi eksploitasi terjadi pada pukul 05:43 UTC hari Senin, menurut data Penjelajah OP Mainnet. Itu memindahkan sekitar 163.326 USDC.e keluar dari protokol melalui 63 transfer token.
Sementara itu, transaksi yang sama membakar sekitar 1,6 juta Cozy PToken (CPT). Penyerang kemudian menyetujui sebuah token dan mengirimkan dana melalui jembatan pada pukul 05:56 UTC.
Keluar itu terjadi sebelum Blockaid menerbitkan peringatannya. Rekaman Penjelajah menunjukkan tidak ada pergerakan lebih lanjut dari dompet sejak itu.
Penyerang juga mempersiapkan diri dengan baik sebelumnya. Rekaman menunjukkan kontrak serangan aktif pada 2 September, lima hari sebelum penarikan. Dompet tersebut menarik dana pertamanya dari solver Relay.
Blockaid juga menamakan Cozy Set (CSET) sebagai kontrak token yang disalahgunakan. Kontrak tersebut tetap tidak diverifikasi dan masih menyimpan sekitar $4.168 dalam USDC.e.
Eksploit Cozy Finance Mengulangi Kegagalan 2025
Ini bukan kerugian pertama protokol ini di Optimism. Seorang penyerang mengambil sekitar $427.000 pada Agustus 2025, menurut perusahaan keamanan Verichains.
Kerentanan terletak pada kode penarikan, yang tidak pernah memeriksa siapa yang menyelesaikan tebusan. Cozy Finance kini menempati peringkat lima besar di antara protokol asuransi di DefiLlama, dengan aset sekitar $1,3 juta.
DefiLlama mencatat sekitar $172.000 di sisi Optimism. Oleh karena itu, penyerang tampaknya telah mengambil hampir seluruh penempatan di sana.
Serangan serupa terus terjadi di seluruh DeFi. Notional Finance kehilangan $1,73 juta minggu lalu akibat bug integer overflow. Beberapa hari sebelumnya, Full Sail menghentikan operasinya setelah penyerang mengambil sekitar $91.000.
Senin juga membawa kasus yang jauh lebih besar. Sekitar $320 juta bitcoin keluar dari Jaringan Liquid, dan para pelaku menyatakan niat white hat di blockchain.
Namun, angka kerugian awal sering berubah. Blockaid awalnya memperkirakan eksploitasi Flow Agustus sebesar $9,3 juta sebelum jaringan menempatkan kerusakan di dekat $410.000.
Blockaid berjanji memberikan detail lebih lanjut sambil melacak uang tersebut. Jumlahnya kecil, namun pelanggaran kedua di rantai yang sama menimbulkan pertanyaan yang lebih sulit.