Druhý útok na Cozy Finance: falešné vyhodnocení oraclu odemklo výplaty v hodnotě až 170 000 dolarů

Cozy Finance čelilo 7. září 2026 už druhému útoku na síti Optimism během přibližně jednoho roku. Útočník využil falešná, avšak nenapadená vyhodnocení v systému UMA Optimistic Oracle k tomu, aby spustil výplaty z ochranných trhů Cozy pro Aave v2 a Curve. Ztráta se podle různých způsobů vyčíslení pohybuje mezi zhruba 160 000 a 170 000 dolary — tedy téměř veškerou hodnotou, která byla tehdy v nasazení Cozy na Optimism. 67

Jak útok proběhl

Rozhodující transakce se uskutečnila 7. září v 05:43 UTC. Z protokolu při ní odešlo přibližně 163 326 USDC.e v 63 tokenových transferech a zároveň bylo spáleno asi 1,6 milionu tokenů Cozy PToken (CPT). 7

Postup útočníka měl několik kroků:

1. Nejprve získal PTokens v ochranných trzích navázaných na Aave v2 a Curve.
2. Do UMA Optimistic Oracle zadal odpovědi „ANO“, které byly podle reportů nepravdivé, ale nikdo je ve stanovené době nerozporoval.
3. Logika spouštěče Cozy samostatně neověřila, zda skutečně nastalo kryté selhání Aave nebo Curve. Nárok na výplatu navíc nebyl vázán na snímek držitelů tokenů pořízený před podáním návrhu.
4. Po označení trhů jako spuštěných útočník PTokens spálil a vybral USDC. 6

Rozdíl mezi odhadem 160 000 dolarů a transakčním údajem 163 326 USDC.e, často zaokrouhlovaným na 170 000 dolarů, tak nepopisuje dva různé incidenty. Jde o rozdílné ocenění téže události. 67

Příprava a rychlý přesun peněz

Útočná smlouva byla nasazena už 2. září, tedy pět dní před samotným odčerpáním. Peněženka útočníka přitom původně obdržela prostředky od Relay solveru. 7

V 05:56 UTC — jen 13 minut po hlavní transakci — útočník token schválil a výnos převedl přes bridge mimo původní prostředí, ještě před veřejným upozorněním společnosti Blockaid. V danou chvíli reporty neuváděly další pohyb této peněženky. 7

Právě tento časový náskok komplikuje případné vrácení peněz. Blockchain sice umožňuje převody sledovat, ale rychlé přesuny mezi sítěmi mohou prostředky dostat mimo bezprostřední dosah nouzové reakce protokolu dříve, než stihne zasáhnout.

Nešlo o opakování stejné chyby z roku 2025

Cozy už na Optimism utrpělo ztrátu zhruba 427 000 dolarů při incidentu v srpnu 2025. Tehdy šlo o chybu v logice výběrů: kód neověřoval totožnost strany, která dokončovala uplatnění výběru. 7

Oba útoky byly technicky odlišné. Zatímco případ z roku 2025 souvisel s autorizací výběru, incident z roku 2026 se týkal spouštění nároku přes oracle a konstrukce výplat. Společně ale ukazují, že oprava jedné zranitelnosti sama o sobě neeliminuje rizika v navazující logice vypořádání, oraclů a zpětného odkupu tokenů. 67

Proč byla ztráta pro Cozy výrazná

Cozy podle reportů spravovalo napříč protokolem přibližně 1,3 milionu dolarů TVL (celkové uzamčené hodnoty), z toho asi 172 000 dolarů na Optimism. Zářijový útok tak zřejmě vyčerpal prakticky celé zdejší nasazení. 7

Protokol provozuje ochranné trhy určené ke krytí rizik selhání jiných DeFi služeb. Správné vyhodnocení události a zabezpečené výplaty proto nejsou okrajovou funkcí, ale samotným jádrem jeho modelu. 7

Co incident vypovídá o bezpečnosti DeFi

• Riziko oraclu je zároveň rizikem aplikace. Optimistický oracle funguje na principu možnosti napadnout nesprávný návrh. Pokud ale falešný návrh projde bez sporu a integrovaný protokol nemá vlastní kontrolu, dostatečné pobídky k rozporování ani pojistky pro výplatu, může se z něj stát přímá cesta k odčerpání prostředků. Nejde nutně o tvrzení, že samotný oracle určuje „pravdu“, nýbrž o selhání návrhu propojeného systému. 6
• Složitelnost rozšiřuje plochu útoku. V tomto případě se propojily trh ochranných tokenů, vyhodnocení UMA, spouštěcí logika Cozy, pravidla odkupu a následný odchod přes bridge. Jednotlivé části mohou být samy o sobě funkční, jejich kombinace však vytvořila zneužitelnou cestu. 67
• Nízké TVL není bezpečnostní rezerva. Částka byla nižší než u největších kryptoměnových útoků, ale pro uživatele a poskytovatele likvidity Cozy představovala téměř celý kapitál na Optimism — navíc po předchozí významné ztrátě. 7
• Útoky v DeFi nepolevují. Ve stejném týdnu měl Notional Finance podle reportů přijít přibližně o 1,73 milionu dolarů v důsledku zranitelnosti související s celočíselným přetečením. Zmíněny byly také samostatné případy ztráty asi 91 000 dolarů u Full Sail a sporné, údajně white-hat vyvedení zhruba 320 milionů dolarů v bitcoinech z Liquid Network. 7

V dostupných materiálech není potvrzení, že by Cozy Finance odcizené prostředky získalo zpět. Trasování on-chain převodů může být poměrně transparentní, avšak zmrazení nebo navrácení aktiv vyžaduje rychlou koordinaci protokolů, provozovatelů bridgeů, burz, analytických společností i orgánů činných v trestním řízení. 7

Hlavní ponaučení je jasné: produkty označované jako DeFi „pojištění“ či ochrana musejí chránit celý životní cyklus nároku — ověření skutečné události, sledování sporů, snímky držitelů, autorizaci odkupu, nouzové brzdy i nacvičený postup pro rychlé přesuny aktiv mezi sítěmi.