Wykorzystanie luki w Cozy Finance powoduje utratę 170 000 dolarów przez ubezpieczyciela DeFi po raz drugi

Firma zajmująca się bezpieczeństwem blockchain, Blockaid, wykryła wczesnym rankiem w poniedziałek exploit Cozy Finance na Optimism. Atakujący wyprowadził około 170 000 dolarów i przetransferował środki poza sieć w ciągu 13 minut. Cozy Finance prowadzi rynki ochrony, które umożliwiają użytkownikom kupno zabezpieczenia przed awariami DeFi. Wcześniejszy atak na Optimism kosztował protokół około 427 000 dolarów w sierpniu 2025 roku.Atakujący przetransferował pieniądze w 13 minutTransakcja wykonująca exploit została zrealizowana o godzinie 05:43 UTC w poniedziałek, według danych z eksploratora OP Mainnet. Wyprowadzono około 163 326 USDC.e z protokołu za pomocą 63 transferów tokenów. Ta sama transakcja spaliła także około 1,6 miliona tokenów Cozy PToken (CPT). Następnie atakujący zatwierdził token i przesłał środki przez bridge o 05:56 UTC. Z zapisu eksploratora wynika, że od tego czasu nie odnotowano dalszych ruchów z tego portfela.Atakujący przygotował się także z wyprzedzeniem. Zapisy pokazują, że kontrakt atakujący został uruchomiony 2 września, pięć dni przed rozpoczęciem wyprowadzania środków. Portfel otrzymał pierwsze środki z Relay solver. Blockaid wskazał również Cozy Set (CSET) jako wykorzystywany kontrakt tokenu. Ten kontrakt pozostaje niezweryfikowany i nadal posiada około 4 168 dolarów w USDC.e.Exploit Cozy Finance powtarza błąd z 2025 rokuNie jest to pierwsza strata protokołu na Optimism. Atakujący zabrał około 427 000 dolarów w sierpniu 2025 roku, jak ustaliła firma bezpieczeństwa Verichains. Luka znajdowała się w kodzie wypłat, który nigdy nie weryfikował, kto realizuje wykupienie środków. Cozy Finance zajmuje obecnie piąte miejsce wśród protokołów ubezpieczeniowych na DefiLlama, z aktywami o wartości około 1,3 miliona dolarów. DefiLlama wykazała około 172 000 dolarów po stronie Optimism. Wydaje się zatem, że atakujący wyczyścił niemal całą tamtejszą pulę środków.Podobne ataki wciąż dotykają DeFi. Notional Finance stracił w zeszłym tygodniu 1,73 miliona dolarów przez błąd przepełnienia liczby całkowitej. Kilka dni wcześniej Full Sail zakończył działalność po tym, jak atakujący zabrał około 91 000 dolarów. Poniedziałek przyniósł także zdecydowanie większą sprawę. Około 320 milionów dolarów w Bitcoin opuściło Liquid Network, a osoby zaangażowane deklarowały intencje white hat na łańcuchu. Jednakże wstępne szacunki strat często się zmieniają. Blockaid najpierw określił skalę exploitu Flow z sierpnia na 9,3 miliona dolarów, zanim sieć oszacowała szkody na blisko 410 000 dolarów. Blockaid zapowiedział więcej szczegółów w miarę śledzenia środków. Kwota jest niewielka, jednak drugi wyciek na tym samym łańcuchu rodzi trudniejsze pytania.