Компания по блокчейн-безопасности Blockaid зафиксировала эксплойт Cozy Finance в сети Optimism рано утром в понедельник. Злоумышленник вывел примерно $170 000 и перевёл средства через мост за 13 минут.

Cozy Finance управляет рынками защиты, позволяющими пользователям приобретать страховое покрытие от сбоев в DeFi. Более ранняя атака на Optimism обошлась протоколу примерно в $427 000 в августе 2025 года.

Злоумышленник вывел деньги через мост за 13 минут

Согласно данным обозревателя OP Mainnet, транзакция эксплойта прошла в 05:43 UTC в понедельник. Она вывела из протокола около 163 326 USDC.e за 63 перевода токенов.

При этом та же транзакция сожгла примерно 1,6 млн токенов Cozy PToken (CPT). Затем злоумышленник одобрил токен и перевёл средства через мост в 05:56 UTC.

Этот вывод средств произошёл ещё до того, как Blockaid опубликовала своё предупреждение. Данные обозревателя показывают, что с тех пор с кошелька больше не было никаких движений.

Злоумышленник также заранее хорошо подготовился. Данные показывают, что контракт для атаки был развёрнут 2 сентября, за пять дней до вывода средств. Кошелёк получил первые средства от солвера Relay.

Blockaid также назвала Cozy Set (CSET) контрактом токена, который был использован для атаки. Этот контракт остаётся неверифицированным и всё ещё удерживает около $4168 в USDC.e.

Эксплойт Cozy Finance повторяет провал 2025 года

Это не первая потеря протокола на Optimism. Ранее, в августе 2025 года, злоумышленник похитил около $427 000, как установила компания по безопасности Verichains.

Уязвимость находилась в коде вывода средств, который никогда не проверял, кто именно завершает погашение. Сейчас Cozy Finance занимает пятое место среди страховых протоколов на DefiLlama, удерживая около $1,3 млн.

DefiLlama указывала примерно $172 000 на стороне Optimism. Таким образом, похоже, что злоумышленник вывел почти весь объём средств, развёрнутых там.

Подобные атаки продолжают происходить по всей сфере DeFi. Notional Finance на прошлой неделе потеряла $1,73 млн из-за ошибки переполнения целых чисел. Несколькими днями ранее Full Sail свернула деятельность после того, как злоумышленник похитил около $91 000.

Понедельник принёс и куда более крупный случай. Примерно $320 млн в биткоинах покинули сеть Liquid Network, а причастные заявили в блокчейне о белых намерениях.

Впрочем, первоначальные оценки убытков часто меняются. Blockaid изначально оценила августовский эксплойт Flow в $9,3 млн, прежде чем сеть определила ущерб в размере около $410 000.

Blockaid пообещала предоставить больше подробностей по мере отслеживания средств. Сумма невелика, однако повторный взлом в той же сети поднимает более серьёзные вопросы.

Source: BeInCrypto