TL;DR:
- Cozy Finance đã mất khoảng 170.000 USD trong cuộc khai thác thứ hai trên Optimism, với kẻ tấn công chuyển khoản ra ngoài chỉ 13 phút sau khi bị rút tiền ban đầu.
- Cuộc khai thác đã di chuyển khoảng 163.326 USDC.e qua 63 lần chuyển, trong khi hồ sơ cho thấy hợp đồng tấn công đã được triển khai năm ngày trước sự vi phạm.
- Việc triển khai Optimism của Cozy trước đó giữ khoảng 172.000 USD, cho thấy phần lớn số tiền đã bị quét sạch, trong khi một cuộc tấn công năm 2025 đã khiến giao thức mất 427.000 USD.
Cozy Finance đã trải qua vụ khai thác thứ hai trên Optimism vào đầu thứ Hai, khi một kẻ tấn công rút khoảng $170,000 và chuyển tiền qua cầu chỉ 13 phút sau đó. Tốc độ của cuộc tấn công đã biến một khoản tổn thất tương đối nhỏ thành lời cảnh báo an ninh nghiêm khắc hơn dành cho công ty bảo hiểm DeFi, vốn vận hành các thị trường bảo vệ cho phép người dùng mua bảo hiểm chống lại các sự cố trong hệ sinh thái tài chính phi tập trung. Blockaid đã phát hiện sự cố sau khi tiền đã được rút ra, trong khi dữ liệu từ Nhà thám hiểm cho thấy không có thêm chuyển động nào từ ví của kẻ tấn công sau đó. Sự vi phạm này xảy ra chỉ hơn một năm sau khi Cozy từng chịu một cuộc tấn công khác trên Optimism.
Thông báo cộng đồng:
Blockaid đã phát hiện một cuộc khai thác đang diễn ra trên @cozyfinance trên Optimism.
Đã bị rút 170k$.
Chi tiết thêm tại 
— Blockaid (@blockaid_) September 7, 2026
Giao dịch khai thác được thực hiện lúc 05:43 UTC và di chuyển khoảng 163.326 USDC.e từ giao thức thông qua 63 lần chuyển token. Trong cùng giao dịch này, khoảng 1,6 triệu Cozy PToken, hay CPT, đã bị đốt trước khi kẻ tấn công phê duyệt một token và cầu nối số tiền thu được lúc 05:56 UTC. Việc chuẩn dường như đã bắt đầu vài ngày trước đó thay vì ngay trước khi bị rút tiền, vì hợp đồng tấn công đã được triển khai vào ngày 2 tháng Chín, năm ngày trước vụ khai thác. Các bản ghi cũng cho thấy ví đã nhận khoản tiền đầu tiên từ một Relay solver trước khi vụ việc diễn ra mà không có bất kỳ sự gián đoạn rõ ràng nào trước đó.
Một vụ xâm phạm thứ hai của Optimism đặt ra những câu hỏi về bảo mật sâu sắc hơn
Sự cố dường như tập trung vào Cozy Set, hoặc CSET, mà Blockaid xác định là hợp đồng token bị lạm dụng. Hợp đồng đó vẫn chưa được xác minh và vẫn giữ khoảng $4.168 bằng USDC.e sau cuộc tấn công. Quy mô tổn thất trở nên nổi bật hơn khi so sánh với việc triển khai Cozy trên Optimism, vốn giữ khoảng $172.000 trước khi bị khai thác, cho thấy kẻ tấn công đã thu về gần như toàn bộ số tiền khả dụng tại đó. Cozy Finance xếp hạng năm trong số các giao thức bảo hiểm, với khoảng $1,3 triệu tổng giá trị bị khóa, khiến vụ xâm phạm mới nhất xảy ra trên một cơ sở vốn tương đối nhỏ trong khoảng thời gian tấn công hẹp.
Đây không phải là lần vi phạm bảo mật đầu tiên của Cozy Finance trên Optimism. Vào tháng 8 năm 2025, một kẻ tấn công khác đã lấy đi khoảng 427.000 đô la sau khi khai thác mã rút tiền không xác minh được ai đã hoàn tất việc hoàn trả. Một vụ xâm nhập thứ hai trên cùng mạng lưới hiện nay đặt ra những câu hỏi khó hơn về những điểm yếu lặp lại và khả năng sẵn sàng phòng thủ, dù tổn thất mới nhất nhỏ hơn. Blockaid cho biết sẽ cung cấp thêm chi tiết khi quá trình truy vết tiếp tục, và các ước tính ban đầu về vụ khai thác có thể thay đổi khi các cuộc điều tra tiến triển. Tuy nhiên, đối với Cozy, vấn đề trước mắt là rõ ràng: hai cuộc tấn công riêng biệt đã nhắm vào hoạt động của nó trên Optimism trong khoảng mười ba tháng đầy biến động.