Cozy Financeen kohdistui toinen Optimism-hyökkäys: väärä oraakkelivastaus laukaisi korvaukset

Cozy Finance joutui toiseen Optimism-verkossa tehtyyn hyökkäykseen noin vuoden sisällä 7. syyskuuta 2026. Hyökkääjä käytti väärin UMA:n Optimistic Oracle -ratkaisuprosessia ja laukaisi Cozyn Aave v2- ja Curve-suojamarkkinoiden korvaukset. Protokollasta poistui arviolta 160 000–170 000 dollarin edestä varoja – käytännössä lähes kaikki sen Optimism-toteutuksessa ollut arvo. 67

Näin hyökkäys eteni

Ratkaiseva hyökkäystransaktio tehtiin 7. syyskuuta kello 05.43 UTC. Sen yhteydessä siirrettiin noin 163 326 USDC.e:tä 63 token-siirrossa ja poltettiin noin 1,6 miljoonaa Cozy PTokenia (CPT). 7

Hyökkääjä hankki ensin PToken-tokeneita Aave v2- ja Curve-suojamarkkinoilta. Tämän jälkeen hän toimitti UMA:n Optimistic Oracleen YES-vastauksia, joita kukaan ei riitauttanut määräajassa. 6

Ongelma ei ollut pelkästään oraakkelissa, vaan tavassa, jolla Cozy käytti sitä korvausten käynnistämiseen. Cozyn trigger-prosessi ei itsenäisesti varmistanut, oliko Aaveen tai Curven kattama vahinkotapahtuma todella tapahtunut. Lisäksi korvauskelpoisuutta ei sidottu ehdotusta edeltävään token-omistajien tilannekuvaan. Kun markkinat merkittiin käynnistyneiksi, hyökkääjä pystyi polttamaan PTokeninsa ja lunastamaan USDC:tä. 6

Tappioarvioissa on pieni ero: eräässä turvallisuusalan arviossa puhutaan noin 160 000 dollarista, kun taas tapahtumadataan perustuvissa raporteissa määrä on noin 170 000 dollaria eli 163 326 USDC.e:tä. Kyse on samasta tapahtumasta. 67

Valmistelu ja nopea poistuminen

Hyökkäyksessä käytetty sopimus otettiin käyttöön jo 2. syyskuuta, viisi päivää ennen varojen tyhjennystä. Hyökkääjän lompakko sai alkupääomaa Relay-solverilta. 7

Kello 05.56 UTC, vain 13 minuuttia tyhjennyksen jälkeen, hyökkääjä hyväksyi tokenin käytön ja siirsi tuotot sillan kautta pois verkosta. Tämä tapahtui ennen Blockaidin julkista hälytystä. Tuolloisten raporttien mukaan lompakosta ei ollut sen jälkeen havaittu uusia siirtoja. 7

Nopea ketjujen välinen siirto vaikeuttaa palautuksia olennaisesti. Lohkoketjutapahtumat ovat julkisesti jäljitettävissä, mutta varat voidaan ohjata nopeasti toiseen verkkoon ennen kuin protokolla, pörssit tai muut toimijat ehtivät reagoida.

Toinen merkittävä tapaus vuoden sisällä

Cozy oli menettänyt Optimismissa jo noin 427 000 dollaria elokuussa 2025. 7

Vuoden 2025 hyökkäys liittyi nostotoiminnallisuuden koodiin: se ei varmistanut asianmukaisesti sen osapuolen henkilöllisyyttä, joka viimeisteli lunastuksen. 7

Tapaukset olivat teknisesti erilaisia. Vuonna 2025 kyse oli nostojen valtuutuksen puutteesta, kun taas vuonna 2026 heikkous syntyi oraakkeliratkaisun, korvaustapahtuman laukaisun ja lunastussääntöjen yhdistelmästä. Yhteinen opetus on, että yhden sopimusvirheen korjaaminen ei poista riskejä ympäröivästä selvitys-, oraakkeli- ja lunastuslogiikasta. 67

Tappion mittakaava

Cozyn kokonaislukitun arvon (TVL) arvioitiin tuolloin olevan noin 1,3 miljoonaa dollaria, josta Optimismissa oli noin 172 000 dollaria. Syyskuun hyökkäys näyttää siten tyhjentäneen lähes koko Optimism-toteutuksen. 7

Cozy tarjoaa suojamarkkinoita, joiden tarkoitus on antaa käyttäjille turvaa muiden DeFi-protokollien epäonnistumisia vastaan. Siksi tapahtuman todentaminen ja korvausten oikea kohdentaminen ovat sen turvallisuusmallin ydintoimintoja, eivät sivuseikkoja. 7

Mitä tapaus kertoo DeFi-turvallisuudesta?

• Oraakkeliriski on sovellustason riski. Riitautuksiin perustuva optimistinen oraakkeli ei yksin riitä suurten automaattisten maksujen perustaksi, jos väärä ehdotus voi jäädä kiistämättä eikä integroiva protokolla tee omaa varmennusta tai käytä riittäviä suojamekanismeja. Kyse oli järjestelmäkokonaisuuden suunnitteluvirheestä, ei siitä, että oraakkeli yksin määrittäisi todellisuuden. 6
• Yhdisteltävyys kasvattaa hyökkäyspintaa. Hyökkäys yhdisti suojatokenimarkkinan, UMA-pohjaisen tapahtumaratkaisun, Cozyn trigger-logiikan, lunastussäännöt ja sillan kautta tehdyn poistumisen. Kukin osa voi olla erikseen järkevä, mutta niiden yhteisvaikutus loi hyödynnettävän reitin. 67
• Pieni TVL ei ole turvamarginaali. Summa oli pieni verrattuna suurimpiin kryptovarkauksiin, mutta se vastasi lähes kaikkea Optimismissa ollutta arvoa ja seurasi jo aiempaa merkittävää tappiota. Tämä on huomattava vahinko likviditeetin tarjoajille ja suojatuotteen uskottavuudelle. 7
• Saman viikon muut tapaukset korostivat hyökkäysten jatkuvuutta. Notional Finance menetti raporttien mukaan noin 1,73 miljoonaa dollaria kokonaislukujen ylivuotoon liittyneessä haavoittuvuudessa. Samoissa koosteissa mainittiin myös noin 91 000 dollarin Full Sail -tappio sekä kiistanalainen, valkohattutoimijaksi väitetty noin 320 miljoonan dollarin Bitcoin-siirto Liquid Networkista. 7
• Varojen palautuminen on epävarmaa. Saatavilla olevissa aineistoissa ei ole näyttöä siitä, että Cozy olisi saanut varat takaisin. Jäljittäminen voi olla mahdollista, mutta jäädyttäminen tai palauttaminen edellyttää usein protokollien, siltaoperaattorien, pörssien, analytiikkayritysten ja viranomaisten nopeaa yhteistyötä. 27

Keskeinen opetus on, että DeFi-suoja- ja vakuutustyyppisten tuotteiden on turvattava koko korvausketju: aidon tapahtuman todentaminen, riitautusten seuranta, omistajatilannekuvat, lunastusten valtuutus, hätäkatkaisimet sekä harjoiteltu toimintamalli nopeita ketjujen välisiä varojen siirtoja varten.