Коротко:
- Cozy Finance втратила приблизно 170 000 доларів у другій експлуатації Optimism, коли нападник перевів кошти лише через 13 хвилин після початкового виведення.
- Експлойт перемістив близько 163 326 USDC.e через 63 перекази, тоді як записи показують, що контракт атаки був розгорнутий за п’ять днів до порушення.
- Розгортання Cozy в Optimism раніше містило близько 172 000 доларів США, що свідчить про те, що більша частина коштів була виведена, тоді як атака 2025 року вже коштувала протоколу 427 000 доларів США.
Cozy Finance зазнала другого витоку на Optimism у понеділок ранком, коли нападник вивів приблизно $170 000, а через лише 13 хвилин перемістив кошти через міст. Швидкість атаки перетворила відносно невелику втрату на серйозний попереджувальний сигнал для DeFi-інсурера, який функціонує на ринках захисту, дозволяючи користувачам купувати покриття проти невдач у децентралізованому фінансі. Blockaid зафіксував інцидент після того, як кошти вже вийшли, а дані Дослідника показали, що після цього більше ніяких рухів з гаманця нападника не було. Цей витік стався лише через рік після того, як Cozy зазнала ще однієї атаки на Optimism.
Попередження для спільноти:
Blockaid виявив активний експлойт на @cozyfinance у Optimism.
На даний момент виведено 170 000 $
Більше деталей у 
— Blockaid (@blockaid_) 7 вересня 2026
Експлуатаційна транзакція була здійснена о 05:43 UTC і перемістила близько 163 326 USDC.e з протоколу через 63 перекази токенів. У тій самій транзакції приблизно 1,6 мільйона Cozy PToken (CPT) було спалено перед тим, як атакуючий схвалив токен і переніс отримані кошти о 05:56 UTC. Підготовка, схоже, розпочалася за кілька днів до події, а не безпосередньо перед витіком, оскільки контракт для атаки був розгорнутий 2 вересня — за п’ять днів до експлуатації. Записи також показують, що гаманець отримав свої перші кошти від розв’язувача Relay ще до того, як операція розгорнулася, без будь-яких видимих перерв до цього.
Друга порушення Optimism викликає глибші питання безпеки
Інцидент, схоже, стосується Cozy Set або CSET, який Blockaid визначив як зловжитий токен-контракт. Цей контракт залишається неверифікованим і все ще містив близько $4 168 у USDC.e після атаки. Масштаб втрат стає ще більш помітним, коли його порівнювати з розгортанням Cozy на Optimism, яке до експлойту містило близько $172 000, що свідчить про те, що атакуючий вивіз майже всю доступну суму там. Cozy Finance посідає п’яте місце серед інсуранс-протоколів з загальною сумою заблокованих коштів у близько $1,3 мільйона, що робить останній проникнення особливо значущим на тлі відносно невеликої капіталізації під час вузького вікна атаки.
Це не перша безпекова невдача Cozy Finance на Optimism. У серпні 2025 року інший нападник викрав близько 427 000 доларів, скориставшись кодом виведення, який не перевіряв, хто завершив викуп. Друга порушення на тій же мережі зараз викликає складніші питання щодо повторюваних слабких місць та готовності до захисту, навіть якщо останні втрати менші. Blockaid сказав, що надастиме більше деталей, поки трасування триває, і початкові оцінки експлуатації можуть змінюватися по мірі просування розслідування. Для Cozy однак очевидно одне: дві окремі атаки вже вплинули на його операції на Optimism протягом приблизно тринадцяти хвилюючих місяців.