Syarikat keselamatan blok rantai Blockaid menandakan eksploit Cozy Finance di Optimism pada awal Isnin. Penyerang mengosongkan kira-kira $170,000 dan menghubungkan dana tersebut keluar dalam masa 13 minit.
Cozy Finance menjalankan pasaran perlindungan yang membenarkan pengguna membeli perlindungan terhadap kegagalan DeFi. Serangan Optimism yang lebih awal menyebabkan protokol itu rugi sebanyak $427,000 pada Ogos 2025.
Penyerang Menghubungkan Wang Keluar dalam 13 Minit
Transaksi eksploitasi berlaku pada 05:43 UTC pada hari Isnin, menurut data Pengembara OP Mainnet. Ia memindahkan sebanyak 163,326 USDC.e keluar dari protokol melalui 63 pindahan token.
Sementara itu, transaksi yang sama membakar kira-kira 1.6 juta Cozy PToken (CPT). Penyerang kemudian mengesahkan token dan menghantar dana melalui jambatan pada 05:56 UTC.
Keluaran itu berlaku sebelum Blockaid menerbitkan amaran mereka. Rekod Pengembara menunjukkan tiada pergerakan lanjut dari dompet sejak itu.
Penyerang juga bersedia dengan baik sebelumnya. Rekod menunjukkan kontrak serangan dilancarkan pada 2 September, lima hari sebelum penarikan. Dompet tersebut menarik dana pertamanya daripada penyelesaian Relay.
Blockaid juga menamakan Cozy Set (CSET) sebagai kontrak token yang disalahgunakan. Kontrak tersebut masih tidak disahkan dan masih memegang sebanyak $4,168 dalam USDC.e.
Eksploit Cozy Finance Mengulangi Kegagalan 2025
Ini bukan kerugian pertama protokol ini di Optimism. Seorang penyerang mengambil sekitar $427,000 pada Ogos 2025, menurut firma keselamatan Verichains.
Cacat itu berada dalam kod penarikan, yang tidak pernah memeriksa siapa yang menyelesaikan penebusan. Cozy Finance kini menempati kedudukan kelima di antara protokol insurans di DefiLlama, dengan memegang sekitar $1.3 juta.
DefiLlama mencatat sekitar $172,000 di sisi Optimism. Oleh itu, penyerang kelihatan telah mengambil hampir keseluruhan pelaksanaan di sana.
Serangan serupa terus berlaku di seluruh DeFi. Notional Finance kehilangan $1.73 juta minggu lalu akibat ralat integer overflow. Beberapa hari sebelum itu, Full Sail menghentikan operasi selepas penyerang mengambil kira-kira $91,000.
Isnin membawa kes yang jauh lebih besar. Sekitar $320 juta dalam bitcoin keluar dari Rangkaian Liquid, dan para pelaku menyatakan niat white hat secara on-chain.
Namun, angka kerugian awal sering berubah. Blockaid awalnya mengukur serangan Flow pada bulan Ogos sebanyak $9.3 juta sebelum rangkaian menetapkan kerosakan hampir $410,000.
Blockaid berjanji untuk memberikan butiran lebih lanjut semasa menelusuri dana tersebut. Jumlahnya kecil, namun serangan kedua di rantai yang sama menimbulkan soalan yang lebih sukar.