A empresa de segurança blockchain Blockaid identificou uma exploração na Cozy Finance no Optimism no início da segunda-feira. O atacante drenou aproximadamente US$ 170.000 e transferiu os fundos fora em 13 minutos.
A Cozy Finance opera mercados de proteção que permitem aos usuários comprar cobertura contra falhas no DeFi. Um ataque anterior à Optimism custou ao protocolo cerca de US$ 427.000 em agosto de 2025.
O atacante transferiu o dinheiro em 13 minutos
A transação de exploração ocorreu às 05:43 UTC na segunda-feira, segundo dados do Explorador OP Mainnet. Ela moveu cerca de 163.326 USDC.e fora do protocolo em 63 transferências de tokens.
Enquanto isso, a mesma transação queimou aproximadamente 1,6 milhão de Cozy PToken (CPT). O atacante então aprovou um token e transferiu os fundos por meio de uma ponte às 05:56 UTC.
Essa saída ocorreu antes da Blockaid publicar seu alerta. Os registros do Explorador não mostram mais movimentos da carteira desde então.
O atacante também se preparou com antecedência. Registros mostram que o contrato de ataque foi ativado em 2 de setembro, cinco dias antes do saque. A carteira retirou seus primeiros fundos de um solver da Relay.
Blockaid também nomeou o contrato de token Cozy Set (CSET) como abusado. Esse contrato permanece não verificado e ainda detém cerca de US$ 4.168 em USDC.e.
Exploração da Cozy Finance repete uma falha de 2025
Este não é o primeiro prejuízo do protocolo no Optimism. Um atacante levou cerca de US$ 427.000 em agosto de 2025, segundo a empresa de segurança Verichains.
A falha estava no código de retirada, que nunca verificava quem completava uma resgate. A Cozy Finance agora ocupa o quinto lugar entre os protocolos de seguro no DefiLlama, com cerca de US$ 1,3 milhão.
DefiLlama listou aproximadamente US$ 172.000 no lado Optimism. Portanto, o atacante parece ter capturado quase toda a implementação lá.
Ataques semelhantes continuam ocorrendo no DeFi. Notional Finance perdeu US$ 1,73 milhão na semana passada devido a um bug de transbordamento inteiro. Dias antes, Full Sail encerrou suas operações após um atacante levar aproximadamente US$ 91.000.
Segunda-feira trouxe também um caso muito maior. Cerca de US$ 320 milhões em bitcoin saíram da Rede Liquid, e os agentes afirmaram intenções de white hat na cadeia.
No entanto, as cifras iniciais de perdas frequentemente mudam. O Blockaid inicialmente estimou um exploit do Flow em agosto em US$ 9,3 milhões, antes que a rede ajustasse o dano para cerca de US$ 410.000.
Blockaid prometeu mais detalhes enquanto rastreia o dinheiro. O valor é pequeno, mas uma segunda violação na mesma cadeia levanta perguntas mais difíceis.