Компанія з безпеки блокчейну Blockaid виявила експлойт Cozy Finance на Optimism у понеділок ранком. Зловмисник вивів приблизно 170 000 доларів США та перевів кошти за 13 хвилин.
Cozy Finance запускає ринки захисту, які дозволяють користувачам купувати покриття від невдач DeFi. Раніше атака на Optimism коштувала протоколу близько $427 000 у серпні 2025 року.
Зловмисник переказав кошти за 13 хвилин
Експлуатаційна транзакція була зафіксована о 05:43 UTC у понеділок, згідно з даними Дослідника OP Mainnet. Вона перемістила близько 163 326 USDC.e з протоколу через 63 перекази токенів.
Тим часом та ж транзакція спалила приблизно 1,6 мільйона Cozy PToken (CPT). Зловмисник потім схвалив токен і переслав кошти через міст о 05:56 UTC.
Цей вихід відбувся до того, як Blockaid опублікувала своє попередження. Записи Дослідника не показують жодного подальшого руху з цього гаманця.
Зловмисник також добре підготувався заздалегідь. Записи показують, що контракт атаки був запущений 2 вересня, за п’ять днів до вилучення коштів. Гаманець отримав перші кошти від рішення Relay.
Blockaid також назвав Cozy Set (CSET) зловживаним токенним контрактом. Цей контракт залишається неверифікованим і все ще містить близько $4 168 у USDC.e.
Експлуатація Cozy Finance повторює невдачу 2025 року
Це не перша втрата протоколу на Optimism. Згідно зі звітом компанії з безпеки Verichains, нападник викрав близько $427 000 у серпні 2025 року.
Вада знаходилася в коді виведення, який ніколи не перевіряв, хто завершив викуп. Cozy Finance зараз посідає п’яте місце серед інсуранс-протоколів на DefiLlama, зберігаючи близько $1,3 мільйона.
DefiLlama зафіксовував приблизно 172 000 доларів США на стороні Optimism. Отже, нападник, схоже, вивів майже всі кошти, розгорнуті там.
Подібні атаки продовжують відбуватися в DeFi. Notional Finance втратила 1,73 мільйона доларів на минулому тижні через баг з цілочисельним переповненням. За кілька днів до цього Full Sail припинила діяльність після того, як нападник викрав близько 91 000 доларів.
У понеділок відбулася ще й набагато більша подія. Приблизно 320 мільйонів доларів у bitcoin покинули мережу Liquid, а дії суб’єктів були оголошені як білі шапки у ланцюжку.
Проте ранні оцінки збитків часто змінюються. Blockaid спочатку оцінив експлойт Flow у серпні у 9,3 мільйона доларів, перш ніж мережа зменшила збитки до близько 410 000 доларів.
Blockaid обіцяла надати більше деталей, слідкуючи за грошима. Сума невелика, але другий випадок порушення на тій же ланцюзі викликає складніші питання.