Công ty bảo mật blockchain Blockaid đã phát hiện vụ khai thác lỗ hổng của Cozy Finance trên Optimism vào đầu thứ Hai. Kẻ tấn công đã rút khoảng 170.000 USD và chuyển số tiền này ra ngoài trong vòng 13 phút.
Cozy Finance vận hành các thị trường bảo vệ cho phép người dùng mua bảo hiểm chống lại sự cố trong DeFi. Một cuộc tấn công trước đây trên Optimism đã khiến giao thức mất khoảng 427.000 đô la vào tháng 8 năm 2025.
Kẻ tấn công đã chuyển tiền ra ngoài trong 13 phút
Giao dịch khai thác được ghi nhận lúc 05:43 UTC vào thứ Hai, theo dữ liệu từ nhà thám hiểm OP Mainnet. Nó đã chuyển khoảng 163.326 USDC.e ra khỏi giao thức qua 63 lần chuyển token.
Trong khi đó, giao dịch tương tự đã đốt khoảng 1,6 triệu Cozy PToken (CPT). Kẻ tấn công sau đó đã phê duyệt một token và chuyển quỹ qua cầu vào lúc 05:56 UTC.
Lệnh thoát đó xảy ra trước khi Blockaid công bố cảnh báo. Hồ sơ của Nhà thám hiểm cho thấy không có chuyển động nào thêm từ ví kể từ đó.
Kẻ tấn công cũng đã chuẩn bị sẵn từ trước. Hồ sơ cho thấy hợp đồng tấn công đã được kích hoạt vào ngày 2 tháng Chín, năm ngày trước khi bị rút sạch. Ví đã nhận khoản tiền đầu tiên từ một trình giải Relay.
Blockaid cũng đặt tên Cozy Set (CSET) là hợp đồng token bị lạm dụng. Hợp đồng này vẫn chưa được xác minh và hiện vẫn giữ khoảng $4.168 bằng USDC.e.
Chuyến khai thác Cozy Finance lặp lại sự cố năm 2025
Đây không phải là tổn thất đầu tiên của giao thức trên Optimism. Công ty bảo mật Verichains phát hiện một kẻ tấn công đã lấy đi khoảng 427.000 đô la vào tháng 8 năm 2025.
Lỗ hổng nằm trong mã rút tiền, vốn không bao giờ kiểm tra ai đã hoàn tất việc hoàn trả. Cozy Finance hiện xếp thứ năm trong số các giao thức bảo hiểm trên DefiLlama, với khoảng 1,3 triệu đô la.
DefiLlama liệt kê khoảng 172.000 USD ở phía Optimism. Do đó, kẻ tấn công dường như đã thu gom gần như toàn bộ khoản đầu tư tại đó.
Các cuộc tấn công tương tự liên tục xảy ra trên DeFi. Notional Finance đã mất 1,73 triệu USD vào tuần trước do lỗi tràn số nguyên. Vài ngày trước đó, Full Sail đã ngừng hoạt động sau khi kẻ tấn công lấy đi khoảng 91.000 USD.
Thứ Hai cũng mang đến một vụ việc lớn hơn nhiều. Khoảng 320 triệu USD bitcoin đã rời khỏi Mạng Liquid, và các thực thể đã tuyên bố mục đích white hat trên chuỗi.
Tuy nhiên, các con số tổn thất ban đầu thường thay đổi. Blockaid ban đầu ước tính cuộc khai thác Flow tháng Tám ở mức 9,3 triệu đô la, trước khi mạng lưới xác định thiệt hại gần 410.000 đô la.
Blockaid hứa sẽ cung cấp thêm chi tiết khi truy vết số tiền. Số tiền này nhỏ, nhưng một vụ xâm nhập thứ hai trên cùng chuỗi đặt ra những câu hỏi khó hơn.