要約：
- Cozy Financeは、最初の不正アクセスから13分後に攻撃者が資金をブリッジした2回目のOptimism攻撃で約17万ドルを失った。
- 攻撃者は63回の振替を通じて約163,326 USDC.eを移動させた一方、記録によると攻撃契約は侵害の5日前にデプロイされていた。
- CozyのOptimismデプロイは事前に約172,000ドルを保有しており、その大部分が収集されたことを示唆している一方で、2025年の攻撃は既にプロトコルに427,000ドルの損失をもたらしていた。
Cozy Financeは、月曜日の早朝にOptimism上で二度目の攻撃を受け、攻撃者が約170,000ドルを引き出し、わずか13分後にブリッジを通じて資金を移動させた。攻撃の速さにより、比較的控えめな損失がDeFi保険会社であるCozyにとってより深刻なセキュリティ警告となった。同社は、分散型金融全体の障害に対するカバーをユーザーが購入できる保護マーケットを運営している。Blockaidは資金がすでに移動した後にこの事件を検出しており、エクスプローラーデータによると、攻撃者のウォレットからはその後さらに動きは見られていない。この侵害は、Cozyが前回のOptimism攻撃を受けた後、ちょうど1年余り経過したタイミングで発生した。
コミュニティアラート：
BlockaidがOptimism上の@cozyfinanceで進行中の攻撃を検出しました。
これまでに17万ドルが流出しました。
さらに詳しい情報は 
— Blockaid (@blockaid_) September 7, 2026
攻撃トランザクションはUTC 05:43に発生し、プロトコルから63回のトークン振替を経て約163,326 USDC.eが移動しました。同じトランザクションで、攻撃者がトークンを承認し、UTC 05:56に資金をブリッジする前に、約160万枚のCozy PToken（CPT）が燃やされました。この攻撃の準備は、資金が引き出される直前ではなく、数日前から始まっていたようです。というのも、攻撃用契約は攻撃の5日前である9月2日にデプロイされていたからです。記録によると、操作が進行する前に、ウォレットはRelayソルバーから最初の資金を受け取っており、それまでの間、明らかな中断は見られませんでした。
もう一つのオプティミズムのセキュリティ侵害が、より深いセキュリティの疑問を提起
この事件は、Blockaidが悪用されたトークン契約として特定したCozy Set（CSET）を中心に展開しているようである。その契約は未検証のままであり、攻撃後も約4,168米ドル分のUSDC.eを保有していた。損失の規模は、攻撃前のCozyのOptimismデプロイメントに約17万2,000ドルが保有されていたことを考慮すると、より顕著になる。これは攻撃者がそこで利用可能なほぼ全額を奪ったことを示唆している。Cozy Financeは総ロック済み価値が約130万ドルで、保険プロトコルの中で5位にランクされているが、この最新の侵害は、攻撃の狭い時間枠内で比較的規模の小さい資本基盤に対して発生した。
これはCozy FinanceがOptimism上で初めて発生したセキュリティ被害ではない。2025年8月、別の攻撃者が、引き出しコードが誰が換金を完了したかを検証しなかった脆弱性を悪用し、約42万7,000ドルを奪った。同じネットワーク上で二度目の侵害が発生したことで、最新の損失が较小であるにもかかわらず、繰り返される脆弱性と防御体制の準備状況についてより厳しい疑問が浮上している。Blockaidは、調査が進むにつれて詳細を提供すると述べており、早期の攻撃推定値は調査の進展に伴い変動する可能性がある。しかし、Cozyにとって即時の課題は明確だ：約13ヶ月の激動の期間内に、 Optimismにおける運用が二度の別個の攻撃を受けたことである。