Компанія з блокчейн-безпеки Blockaid зафіксувала експлойт Cozy Finance в мережі Optimism рано вранці в понеділок. Зловмисник вивів приблизно $170 000 і перевів кошти через міст за 13 хвилин.

Cozy Finance керує ринками захисту, що дозволяють користувачам купувати страхове покриття від збоїв у DeFi. Більш рання атака на Optimism коштувала протоколу приблизно $427 000 у серпні 2025 року.

Зловмисник вивів гроші через міст за 13 хвилин

Згідно з даними оглядача OP Mainnet, транзакція експлойту пройшла о 05:43 UTC в понеділок. Вона вивела з протоколу близько 163 326 USDC.e за 63 перекази токенів.

Водночас та сама транзакція спалила приблизно 1,6 млн токенів Cozy PToken (CPT). Потім зловмисник схвалив токен і перевів кошти через міст о 05:56 UTC.

Це виведення коштів відбулося ще до того, як Blockaid опублікувала своє попередження. Дані оглядача показують, що відтоді з гаманця більше не було жодних рухів.

Зловмисник також заздалегідь добре підготувався. Дані показують, що контракт для атаки був розгорнутий 2 вересня, за п’ять днів до виведення коштів. Гаманець отримав перші кошти від солвера Relay.

Blockaid також назвала Cozy Set (CSET) контрактом токена, який був використаний для атаки. Цей контракт залишається неверифікованим і досі утримує близько $4168 у USDC.e.

Експлойт Cozy Finance повторює провал 2025 року

Це не перша втрата протоколу на Optimism. Раніше, у серпні 2025 року, зловмисник викрав близько $427 000, як встановила компанія з безпеки Verichains.

Вразливість містилася в коді виведення коштів, який ніколи не перевіряв, хто саме завершує погашення. Наразі Cozy Finance посідає п’яте місце серед страхових протоколів на DefiLlama, утримуючи близько $1,3 млн.

DefiLlama вказувала приблизно $172 000 на боці Optimism. Таким чином, схоже, що зловмисник вивів майже весь обсяг коштів, розгорнутих там.

Подібні атаки продовжують траплятися по всій сфері DeFi. Notional Finance минулого тижня втратила $1,73 млн через помилку переповнення цілих чисел. Кількома днями раніше Full Sail згорнула діяльність після того, як зловмисник викрав близько $91 000.

Понеділок приніс і значно більший випадок. Приблизно $320 млн у біткоїнах залишили мережу Liquid Network, а причетні заявили в блокчейні про білі наміри.

Втім, початкові оцінки збитків часто змінюються. Blockaid спочатку оцінила серпневий експлойт Flow у $9,3 млн, перш ніж мережа визначила збитки на рівні близько $410 000.

Blockaid пообіцяла надати більше подробиць у міру відстеження коштів. Сума невелика, проте повторний злом у тій самій мережі порушує серйозніші питання.

Source: BeInCrypto