TL;DR:
- A Cozy Finance perdeu aproximadamente US$ 170.000 em um segundo ataque ao Optimism, com o atacante transferindo os fundos apenas 13 minutos após a retirada inicial.
- A exploração moveu cerca de 163.326 USDC.e por meio de 63 transferências, enquanto registros mostram que o contrato de ataque havia sido implantado cinco dias antes da violação.
- A implantação da Cozy no Optimism tinha aproximadamente US$ 172.000 anteriormente, sugerindo que a maioria foi retirada, enquanto um ataque em 2025 já havia custado ao protocolo US$ 427.000.
A Cozy Finance sofreu um segundo ataque no Optimism na segunda-feira de manhã, com um atacante esvaziando aproximadamente $170.000 antes de transferir os fundos por uma ponte apenas 13 minutos depois. A velocidade do ataque transformou uma perda relativamente modesta em um aviso de segurança mais grave para a seguradora DeFi, que opera mercados de proteção permitindo aos usuários comprar cobertura contra falhas em toda a finança descentralizada. O Blockaid sinalizou o incidente após os fundos já terem saído, enquanto dados do Explorador mostraram nenhuma movimentação adicional da carteira do atacante após isso. A violação ocorre pouco mais de um ano após a Cozy sofrer outro ataque no Optimism.
Alerta da comunidade:
Blockaid detectou uma exploração em andamento em @cozyfinance no Optimism.
170 mil $ drenados até agora.
Mais detalhes em 
— Blockaid (@blockaid_) September 7, 2026
A transação de exploração ocorreu às 05:43 UTC e transferiu cerca de 163.326 USDC.e do protocolo por meio de 63 transferências de tokens. Na mesma transação, aproximadamente 1,6 milhão de Cozy PToken, ou CPT, foram queimados antes que o atacante aprovasse um token e realizasse a ponte dos recursos às 05:56 UTC. A preparação parece ter começado dias antes, e não momentos antes do saque, pois o contrato de ataque foi implantado em 2 de setembro, cinco dias antes da exploração. Registros também mostram que a carteira recebeu seus primeiros fundos de um solucionador da Relay antes da operação se desenrolar, sem qualquer interrupção aparente anteriormente.
Uma segunda violação da Optimism levanta questões de segurança mais profundas
O incidente parece estar centrado no Cozy Set, ou CSET, que Blockaid identificou como o contrato de token abusado. Esse contrato permanece não verificado e ainda detinha cerca de US$ 4.168 em USDC.e após o ataque. A escala da perda torna-se mais evidente quando comparada à implementação do Cozy no Optimism, que detinha aproximadamente US$ 172.000 antes da exploração, sugerindo que o atacante retirou quase toda a quantia disponível ali. A Cozy Finance ocupa a quinta posição entre os protocolos de seguro, com aproximadamente US$ 1,3 milhão em valor total bloqueado, o que coloca a última violação em relação a uma base de capital relativamente compacta durante a janela de ataque restrita.
Este não é o primeiro fracasso de segurança da Cozy Finance no Optimism. Em agosto de 2025, outro atacante levou cerca de US$ 427.000 após explorar um código de retirada que não verificava quem completava uma resgate. Uma segunda violação na mesma rede agora levanta perguntas mais difíceis sobre fraquezas recorrentes e prontidão defensiva, mesmo que a perda mais recente seja menor. O Blockaid disse que fornecerá mais detalhes à medida que a investigação avança, e estimativas iniciais da exploração podem variar à medida que as investigações progridem. Para a Cozy, no entanto, a questão imediata é clara: dois ataques distintos já atingiram suas operações no Optimism em aproximadamente treze meses turbulentos.