TL;DR:
- Cozy Finance kehilangan kira-kira $170,000 dalam serangan Optimism kedua, dengan penyerang memindahkan dana tersebut hanya 13 minit selepas penarikan awal.
- Eksploitasi tersebut memindahkan sebanyak 163.326 USDC.e melalui 63 pindah, sementara rekod menunjukkan kontrak serangan telah dideploy lima hari sebelum kebocoran.
- Penghantaran Optimism Cozy sebelum ini menahan kira-kira $172,000, menunjukkan bahawa kebanyakannya telah disapu, manakala serangan pada 2025 sudah merugikan protokol sebanyak $427,000.
Cozy Finance mengalami serangan kedua di Optimism pada awal Senin, dengan penyerang menguras kira-kira $170,000 sebelum memindahkan dana melalui jembatan hanya 13 minit kemudian. Kelajuan serangan ini mengubah kerugian yang relatif kecil menjadi amaran keselamatan yang lebih tajam bagi penjamin DeFi, yang mengendalikan pasaran perlindungan yang membenarkan pengguna membeli perlindungan terhadap kegagalan di seluruh kewangan terdesentralisasi. Blockaid menandakan insiden ini selepas dana telah keluar, sementara data Pengembara menunjukkan tiada pergerakan lanjut dari dompet penyerang selepas itu. Pelanggaran ini berlaku kurang lebih setahun selepas Cozy mengalami serangan Optimism yang lain.
Amaran komuniti:
Blockaid mengesan serangan yang sedang berlangsung terhadap @cozyfinance di Optimism.
170k$ telah dicuri sehingga kini.
Lebih banyak butiran dalam 
— Blockaid (@blockaid_) 7 September 2026
Transaksi eksploitasi berlaku pada 05:43 UTC dan memindahkan sekitar 163.326 USDC.e dari protokol melalui 63 pindah token. Dalam transaksi yang sama, sekitar 1,6 juta Cozy PToken, atau CPT, dibakar sebelum penyerang mengesahkan token dan menjembatani hasilnya pada 05:56 UTC. Persiapan tampaknya telah dimulai beberapa hari sebelumnya, bukan saat-saat sebelum penarikan, kerana kontrak serangan telah dideploy pada 2 September, lima hari sebelum eksploitasi. Rekod juga menunjukkan dompet menerima dana pertamanya daripada penyelesaian Relay sebelum operasi berlaku tanpa sebarang gangguan yang jelas sebelumnya.
Pelanggaran Optimism Kedua Meningkatkan Soalan Keselamatan yang Lebih Mendalam
Insiden ini kelihatan berpusat pada Cozy Set, atau CSET, yang Blockaid mengenal pasti sebagai kontrak token yang disalahgunakan. Kontrak itu masih tidak disahkan dan masih memegang sebanyak $4,168 dalam USDC.e selepas serangan itu. Skala kerugian menjadi lebih menonjol apabila diukur berdasarkan pelaksanaan Cozy di Optimism, yang memegang kira-kira $172,000 sebelum eksploitasi, menunjukkan penyerang telah mengambil hampir keseluruhan jumlah yang tersedia di sana. Cozy Finance berada di tempat kelima di antara protokol insurans, dengan jumlah nilai terkunci sebanyak kira-kira $1.3 juta, menjadikan pelanggaran terbaru ini berlaku terhadap asas modal yang relatif kecil semasa jendela serangan yang sempit itu.
Ini bukanlah kegagalan keselamatan pertama Cozy Finance di Optimism. Pada Ogos 2025, seorang penyerang lain mengambil kira-kira $427,000 selepas mengeksploitasi kod penarikan yang gagal mengesahkan siapa yang menyelesaikan penebusan. Pelanggaran kedua di rangkaian yang sama kini menimbulkan soalan yang lebih sukar mengenai kelemahan berulang dan kesiapan pertahanan, walaupun kerugian terkini lebih kecil. Blockaid mengatakan ia akan memberikan butiran lanjut seiring pemeriksaan berterusan, dan anggaran eksploit awal boleh berubah seiring kemajuan penyiasatan. Namun, bagi Cozy, isu segera adalah jelas: dua serangan berasingan kini telah menyerang operasi Optimism-nya dalam tempoh kira-kira tiga belas bulan yang bergolak.