Кратко:
- Cozy Finance потеряла около 170 000 долларов во второй атаке на Optimism, причем злоумышленник перевел средства за 13 минут после первоначального изъятия.
- Эксплуатация переместила около 163 326 USDC.e через 63 перевода, при этом записи показывают, что атакующий контракт был развернут за пять дней до нарушения.
- Развертывание Cozy в Optimism до этого содержало примерно 172 000 долларов США, что указывает на то, что большая часть средств была изъята, а атака 2025 года уже стоила протоколу 427 000 долларов США.
Cozy Finance столкнулась со вторым взломом на Optimism в ранние часы понедельника, когда злоумышленник вывел примерно $170 000 и переместил средства через мост всего через 13 минут. Быстрота атаки превратила относительно скромные потери в более серьезное предупреждение о безопасности для DeFi-страховщика, который управляет рынками защиты, позволяя пользователям приобретать покрытие против сбоев в децентрализованном финансе. Blockaid зафиксировал инцидент после того, как средства уже были выведены, а данные Проводника показали, что после этого в кошельке злоумышленника не было дальнейших движений. Эта уязвимость произошла чуть более чем через год после того, как Cozy пережила еще одну атаку на Optimism.
Предупреждение для сообщества:
Blockaid обнаружил текущую эксплуатацию на @cozyfinance в Optimism.
На данный момент похищено 170 000 $.
Больше деталей в 
— Blockaid (@blockaid_) 7 сентября 2026
Эксплуатационная транзакция была зафиксирована в 05:43 UTC и переместила около 163 326 USDC.e из протокола через 63 перевода токенов. В той же транзакции примерно 1,6 миллиона Cozy PToken (CPT) были сожжены до того, как злоумышленник одобрил токен и перевел полученные средства в 05:56 UTC. Подготовка, по всей видимости, началась за несколько дней до этого, а не непосредственно перед хищением, поскольку контракт атаки был развернут 2 сентября — за пять дней до эксплуатации. Записи также показывают, что кошелек получил свои первые средства от решателя Relay до того, как атака развернулась, без каких-либо явных сбоев заранее.
Второе нарушение в Optimism вызывает более глубокие вопросы безопасности
Инцидент, по всей видимости, связан с Cozy Set или CSET, который Blockaid идентифицировал как использованный в злонамеренных целях контракт токена. Этот контракт остается неверифицированным и после атаки все еще содержал около $4 168 в USDC.e. Масштаб потерь становится еще более впечатляющим, если сравнить его с развертыванием Cozy на Optimism, где до эксплуатации удерживалось примерно $172 000, что указывает на то, что злоумышленник забрал почти всю доступную сумму. Cozy Finance занимает пятое место среди страховых протоколов с общей суммой замороженных средств около $1,3 млн, что делает последний инцидент особенно значительным на фоне относительно небольшой капитализации в узком окне атаки.
Это не первый случай утечки безопасности Cozy Finance на Optimism. В августе 2025 года другой злоумышленник похитил около 427 000 долларов, воспользовавшись уязвимостью в коде вывода, который не проверял, кто завершил выкуп. Второе вторжение на той же сети поднимает более сложные вопросы о повторяющихся слабостях и готовности к защите, даже несмотря на то, что последний ущерб меньше. Blockaid заявила, что предоставит дополнительные детали по мере продолжения расследования, и первоначальные оценки эксплуатации могут измениться по мере продвижения расследования. Однако для Cozy немедленная проблема очевидна: за примерно тринадцать бурных месяцев его операции на Optimism подверглись двум отдельным атакам.