Cozy Finance perd environ 170 000 $ lors d’un second exploit sur Optimism

Cozy Finance a subi son deuxième exploit sur Optimism en l’espace d’environ un an, le 7 septembre 2026. L’attaquant a transformé de fausses résolutions, non contestées, de l’Optimistic Oracle d’UMA en paiements issus des marchés de protection Aave v2 et Curve de Cozy. Le préjudice est estimé entre 160 000 et 170 000 dollars, soit pratiquement toute la valeur alors signalée sur le déploiement Optimism du protocole. 67

Comment l’attaque s’est déroulée

La transaction décisive a été exécutée à 05 h 43 UTC le 7 septembre. Elle a fait sortir environ 163 326 USDC.e au travers de 63 transferts de jetons et a brûlé près de 1,6 million de Cozy PToken (CPT). 7

Selon l’analyse disponible, l’attaquant a d’abord acquis des PTokens sur les marchés de protection liés à Aave v2 et Curve. Il a ensuite soumis des réponses « YES » à l’Optimistic Oracle d’UMA sans qu’elles soient contestées. 6

Le problème ne se limitait donc pas à une simple donnée erronée : le mécanisme de déclenchement de Cozy ne vérifiait pas indépendamment que l’événement couvert — une défaillance d’Aave ou de Curve — s’était réellement produit. De plus, le droit à l’indemnisation n’était pas lié à un instantané des détenteurs de PTokens antérieur à la proposition. Une fois les marchés placés dans l’état TRIGGERED, les PTokens ont pu être échangés contre des USDC. 6

Les estimations divergent légèrement selon la méthode de valorisation : environ 160 000 dollars dans une évaluation de sécurité, contre près de 170 000 dollars, ou 163 326 USDC.e, dans les relevés centrés sur la transaction. Elles décrivent néanmoins le même incident. 67

Un scénario préparé, puis une sortie très rapide

Le contrat utilisé pour l’attaque avait été déployé le 2 septembre, soit cinq jours avant l’exploit. Le portefeuille de l’attaquant avait initialement reçu des fonds d’un solveur Relay. 7

À 05 h 56 UTC, seulement 13 minutes après le drainage, l’attaquant a approuvé le jeton puis a transféré le produit de l’attaque via un bridge, avant l’alerte publique de Blockaid. À ce stade, les informations rapportées n’indiquaient pas de mouvement ultérieur depuis ce portefeuille. 7

Cette rapidité complique fortement toute récupération. Les transferts restent visibles sur la blockchain, mais le passage vers une autre chaîne peut éloigner les actifs du périmètre immédiat d’intervention du protocole. Sur l’OP Stack d’Optimism, les transferts inter-chaînes reposent notamment sur l’OptimismPortal, complété par une couche de messagerie et par des bridges de jetons. 2

Un second incident après les 427 000 $ perdus en 2025

Cozy avait déjà perdu environ 427 000 dollars sur Optimism en août 2025. 7

Cette première attaque provenait d’un défaut différent : le code de retrait ne vérifiait pas correctement l’identité de la partie qui finalisait un rachat. 7

Les deux incidents sont donc distincts sur le plan technique. Celui de 2025 relevait d’une défaillance d’autorisation lors des retraits ; celui de 2026 concernait la résolution d’un sinistre, le déclenchement des indemnités et les règles de paiement. Ensemble, ils rappellent toutefois qu’un correctif sur un contrat précis ne supprime pas les risques présents dans les mécanismes voisins : oracle, règlement, rachat et sortie des fonds. 67

Une perte modeste en valeur absolue, majeure pour Optimism

Au moment des faits, Cozy aurait affiché environ 1,3 million de dollars de valeur totale verrouillée (TVL) tous réseaux confondus, dont près de 172 000 dollars sur Optimism. Le drainage de septembre semble donc avoir vidé presque entièrement ce déploiement. 7

Cozy propose des marchés de protection destinés à couvrir les utilisateurs contre des défaillances de protocoles DeFi. Dans ce type de produit, la fiabilité de la validation d’un événement et du versement des indemnisations n’est pas un élément périphérique : elle constitue le cœur du modèle de sécurité. 7

Ce que l’affaire révèle pour la DeFi

• Le risque d’oracle est aussi un risque d’intégration. Un oracle optimiste, fondé sur une période durant laquelle une proposition peut être contestée, devient dangereux pour un paiement automatisé important si une fausse proposition peut passer sans contestation et si le protocole intégré ne prévoit ni vérification indépendante, ni incitations suffisantes à contester, ni garde-fous sur les paiements. 6
• La composabilité élargit la surface d’attaque. Ici, le chemin a relié un marché de jetons de protection, une résolution d’événement par UMA, la logique de déclenchement de Cozy, les règles de rachat et une sortie par bridge. Des composants acceptables isolément peuvent former, ensemble, une voie d’extraction de valeur. 67
• Une TVL réduite n’est pas une marge de sécurité. Le montant est faible au regard des plus grands piratages du secteur, mais il représentait presque tous les actifs de Cozy sur Optimism et intervenait après une perte antérieure conséquente. Pour les fournisseurs de liquidité concernés, comme pour la confiance dans un protocole de protection, l’impact est significatif. 7
• Les attaques restent fréquentes dans la DeFi. La même semaine, Notional Finance aurait perdu environ 1,73 million de dollars dans une vulnérabilité liée à un dépassement d’entier (integer overflow). 7
• Le recouvrement demeure incertain. Les éléments disponibles ne permettent pas d’affirmer que Cozy a récupéré les fonds. Les bridges rapides, d’éventuels swaps ultérieurs et la coordination nécessaire entre protocoles, opérateurs de bridges, plateformes d’échange, sociétés d’analyse et autorités rendent le traçage plus simple que le gel ou la restitution effective des actifs. 27

La leçon principale est qu’un produit de « protection » ou d’« assurance » DeFi doit sécuriser l’intégralité du cycle de sinistre : vérification authentique de l’événement, surveillance des contestations, instantané des détenteurs, autorisation des rachats, mécanismes d’arrêt d’urgence et plan de réponse testé face à une sortie inter-chaînes rapide.