Cozy Finance pierde hasta US$170.000 en su segundo exploit en Optimism en cerca de un año

Cozy Finance sufrió su segundo exploit en Optimism en cerca de un año el 7 de septiembre de 2026. El atacante convirtió resoluciones falsas y no impugnadas del Optimistic Oracle de UMA en pagos de los mercados de protección de Aave v2 y Curve de Cozy. El drenaje fue estimado entre US$160.000 y US$170.000, una cantidad que aparentemente representaba casi todo el valor desplegado por el protocolo en Optimism. 67

Cómo se produjo el ataque

La transacción decisiva ocurrió a las 05:43 UTC del 7 de septiembre. Movió aproximadamente 163.326 USDC.e mediante 63 transferencias de tokens y quemó cerca de 1,6 millones de Cozy PToken (CPT). 7

Según los reportes disponibles, el atacante siguió una secuencia clara:

1. Adquirió PTokens en los mercados de protección vinculados a Aave v2 y Curve.
2. Presentó respuestas «SÍ» ante el Optimistic Oracle de UMA para hechos que, según el análisis del incidente, no habían sucedido.
3. Nadie impugnó esas propuestas dentro del mecanismo previsto por el oráculo.
4. Los mercados quedaron marcados como activados y el atacante canjeó sus PTokens por USDC. 6

El problema no fue solo que una propuesta falsa quedara sin disputa. El proceso de activación de Cozy no verificaba por su cuenta que hubiera ocurrido realmente el fallo cubierto en Aave o Curve. Además, el derecho al pago no dependía de una fotografía de los tenedores de PTokens anterior a la propuesta. Eso permitió comprar los tokens, activar indebidamente el evento y cobrar. 6

La diferencia entre las cifras reportadas no implica necesariamente dos incidentes distintos: algunos cálculos de seguridad sitúan la pérdida en torno a US$160.000, mientras que los registros transaccionales apuntan a unos 163.326 USDC.e, equivalentes aproximadamente a US$170.000. 67

Preparación previa y salida rápida de los fondos

El contrato usado en el ataque fue desplegado el 2 de septiembre, cinco días antes de la explotación. La billetera del atacante recibió inicialmente fondos de un solver de Relay. 7

A las 05:56 UTC, apenas 13 minutos después del drenaje, el atacante aprobó el token y envió los fondos a través de un puente, antes de la alerta pública de Blockaid. En ese momento, los reportes indicaban que no se habían observado movimientos posteriores desde esa billetera. 7

Esta rapidez ilustra una dificultad recurrente en DeFi: las operaciones en cadena pueden ser públicas y rastreables, pero mover activos entre redes puede dejar muy poco tiempo para activar medidas de emergencia. Rastrear fondos no equivale a poder congelarlos o devolverlos.

El antecedente de agosto de 2025

Cozy ya había perdido cerca de US$427.000 en Optimism en agosto de 2025. 7

Aquel incidente tuvo una causa técnica distinta: el código de retiro no comprobaba la identidad de quien completaba un canje. El caso de 2026, en cambio, estuvo relacionado con la activación de reclamos mediante oráculo y con el diseño de los pagos. 67

La comparación deja una advertencia importante: corregir una vulnerabilidad concreta de un contrato no elimina los riesgos en las capas cercanas del producto, como la liquidación, los oráculos, la autorización de canjes y las reglas de pago.

Una pérdida pequeña en dólares, pero enorme para el despliegue afectado

En ese momento, Cozy tenía alrededor de US$1,3 millones de valor total bloqueado en el protocolo y unos US$172.000 en Optimism. Por ello, el drenaje de septiembre parece haber vaciado casi por completo la operación del protocolo en esa red. 7

Cozy opera mercados de protección diseñados para que usuarios obtengan cobertura frente a fallos en otros protocolos DeFi. En un producto de ese tipo, la comprobación del evento cubierto y la integridad de los pagos no son funciones accesorias: son el núcleo de su modelo de seguridad. 7

Qué revela el caso para DeFi

• El riesgo del oráculo también es riesgo de la aplicación. Un oráculo optimista se basa en un sistema de propuestas y disputas. Si una propuesta falsa puede vencer sin ser cuestionada y activar pagos automatizados de alto valor, el protocolo que lo integra necesita validaciones, incentivos de impugnación y salvaguardas adicionales. 6
• La composabilidad amplía la superficie de ataque. En este caso se conectaron mercados de PTokens, la resolución de eventos de UMA, la lógica de activación de Cozy, las reglas de canje y una ruta de salida por puente. Cada componente puede parecer razonable de forma aislada, pero su combinación creó una vía de extracción. 67
• Tener poco valor bloqueado no aporta un margen de seguridad. Aunque la cifra sea modesta frente a los mayores hackeos del sector, representó casi todo el capital de Cozy en Optimism y llegó después de una pérdida anterior. 7
• La recuperación sigue siendo incierta. No hay evidencia en el material disponible de que Cozy haya recuperado los activos. Los puentes rápidos, posibles intercambios posteriores y la coordinación necesaria entre protocolos, operadores de puentes, exchanges, firmas de análisis y autoridades hacen que recuperar fondos sea mucho más difícil que seguir su rastro. 7

La lección central es que un producto DeFi de «protección» debe blindar todo el ciclo del reclamo: verificación auténtica del evento, seguimiento de disputas, fotografías de tenedores previas a las propuestas, autorización de canjes, interruptores de emergencia y un plan probado para responder a salidas rápidas entre redes.