Компания по безопасности блокчейна Blockaid сообщила об эксплуатации уязвимости в Cozy Finance на Optimism рано в понедельник. Злоумышленник извлек примерно 170 000 долларов и перевел средства за 13 минут.
Cozy Finance управляет рынками защиты, позволяющими пользователям покупать покрытие против сбоев в DeFi. Ранняя атака на Optimism обошлась протоколу примерно в 427 000 долларов в августе 2025 года.
Злоумышленник перевел деньги за 13 минут
Эксплуатационная транзакция была зафиксирована в 05:43 UTC в понедельник, согласно данным проводника OP Mainnet. Она переместила около 163 326 USDC.e из протокола через 63 перевода токенов.
В то же время та же транзакция сожгла примерно 1,6 миллиона Cozy PToken (CPT). Затем злоумышленник одобрил токен и перевел средства через мост в 05:56 UTC.
Этот вывод произошел до того, как Blockaid опубликовала свое предупреждение. Записи Проводника показывают, что с тех пор дальнейших движений с кошелька не было.
Злоумышленник также хорошо подготовился заранее. Записи показывают, что атакующий контракт был запущен 2 сентября, за пять дней до хищения. Кошелек получил свои первые средства от решателя Relay.
Blockaid также назвал Cozy Set (CSET) злоупотребляемым контрактом токена. Этот контракт остается неверифицированным и по-прежнему содержит около $4 168 в USDC.e.
Эксплуатация Cozy Finance повторяет неудачу 2025 года
Это не первая потеря протокола на Optimism. По данным компании по безопасности Verichains, злоумышленник похитил около 427 000 долларов в августе 2025 года.
Уязвимость находилась в коде вывода, который никогда не проверял, кто завершил выкуп. Cozy Finance сейчас занимает пятое место среди страховых протоколов на DefiLlama, удерживая около 1,3 миллиона долларов.
DefiLlama зафиксировала примерно 172 000 долларов на стороне Optimism. Следовательно, атакующий, по всей видимости, забрал практически всю сумму, размещенную там.
Подобные атаки продолжают происходить в DeFi. Notional Finance потерял 1,73 миллиона долларов на прошлой неделе из-за ошибки переполнения целых чисел. За несколько дней до этого Full Sail прекратил деятельность после того, как злоумышленник похитил около 91 000 долларов.
В понедельник произошел еще более крупный случай: примерно 320 миллионов долларов в bitcoin покинули Liquid Network, и участники заявили о белых шляпах в цепочке.
Однако ранние оценки убытков часто меняются. Blockaid первоначально оценил атаку на Flow в августе в 9,3 миллиона долларов, прежде чем сеть определила ущерб примерно в 410 000 долларов.
Blockaid обещала предоставить больше деталей при отслеживании денег. Сумма небольшая, но второе нарушение на той же цепочке вызывает более сложные вопросы.