Blockchain-værdipapirfirmaet Blockaid advarede om et Cozy Finance-angreb på Optimism tidligt i mandags. Angriberen tømte cirka $170.000 og fik pengene ud via broen på bare 13 minutter.
Cozy Finance driver beskyttelsesmarkeder, hvor brugere kan købe dækning mod DeFi-fejl. Et tidligere angreb på Optimism kostede protokollen omkring $427.000 i august 2025.
Angriberen fik pengene ud via broen på 13 minutter
Ifølge OP Mainnet explorer-data fandt udnyttelsen sted klokken 05:43 UTC i mandags. Her blev der flyttet omkring 163.326 USDC.e ud af protokollen fordelt på 63 token-overførsler.
I samme transaktion blev cirka 1,6 millioner Cozy PToken (CPT) brændt. Derefter gav angriberen godkendelse til et token og sendte pengene gennem en bro klokken 05:56 UTC.
Exit skete, før Blockaid sendte sin advarsel ud. Explorer-data viser ingen yderligere bevægelse fra wallet siden da.
Angriberen havde også lagt planen god tid i forvejen. Oplysninger viser, at angrebskontrakten blev aktiveret den 2. september – fem dage før tømningen. Wallet modtog sin første kapital fra en Relay solver.
Blockaid identificerede også Cozy Set (CSET) som den misbrugte token-kontrakt. Kontrakten er stadig ikke verificeret og rummer fortsat cirka $4.168 i USDC.e.
Cozy Finance-angrebet gentager en fiasko fra 2025
Det er ikke første gang, denne protokol har lidt tab på Optimism. I august 2025 blev cirka $427.000 taget af en angriber, fandt sikkerhedsfirmaet Verichains.
Fejlen lå i udbetalingskoden, som aldrig tjekkede, hvem der gennemførte en indfrielse. Cozy Finance er nu nummer fem blandt forsikringsprotokoller på DefiLlama med omkring $1,3 millioner.
DefiLlama viste cirka $172.000 på Optimism-delen. Dermed ser det ud til, at angriberen stort set har tømte hele deployment der.
Lignende angreb sker ofte i DeFi. Notional Finance mistede $1,73 millioner sidste uge på grund af en integer overflow-fejl. Få dage før lukkede Full Sail ned for driften efter et angreb på cirka $91.000.
I mandags kom der også en meget større sag. Omkring $320 millioner i Bitcoin forlod Liquid Network, og aktørerne skrev med white hat-intentioner på kæden.
Men de første tabsestimater svinger ofte. Blockaid anslog først et Flow-angreb i august til $9,3 millioner, inden netværket satte skaden nær $410.000.
Blockaid har lovet mere information, mens de sporer pengene. Beløbet er lille, men at den samme kæde rammes for anden gang rejser sværere spørgsmål.
