מתקפת Cozy Finance השנייה ב-Optimism: איך אורקל UMA פתח נתיב למשיכת כ-170 אלף דולר

ב-7 בספטמבר 2026 ספגה Cozy Finance פריצה שנייה ברשת Optimism בתוך בערך שנה. לפי הדיווחים, התוקף ניצל הכרעות כוזבות שלא עורערו ב-Optimistic Oracle של UMA כדי להפעיל תשלומי פיצוי בשוקי ההגנה של Cozy עבור Aave v2 ו-Curve. היקף הנזק הוערך בכ-160–170 אלף דולר — סכום שנראה כי כיסה כמעט את כל הערך שהיה בפריסת Optimism של הפרוטוקול. 67

כך התבצעה המתקפה

העסקה המרכזית בוצעה ב-05:43 לפי UTC, ב-7 בספטמבר. במסגרתה יצאו מהפרוטוקול כ-163,326 יחידות USDC.e ב-63 העברות אסימונים, ונשרפו כ-1.6 מיליון Cozy PToken ‏(CPT). 7

לפי תיאור האירוע, התוקף רכש תחילה PTokens בשוקי ההגנה של Aave v2 ושל Curve. לאחר מכן הוא הגיש לאורקל האופטימי של UMA תשובות „כן” שלא נפתח עליהן הליך ערעור. מנגנון ההפעלה של Cozy לא אימת באופן עצמאי שהתרחש בפועל אירוע הכשל ב-Aave או ב-Curve, וזכאות התשלום לא נקשרה לצילום מצב של המחזיקים לפני הגשת ההצעה. אחרי שהשווקים סומנו כ-Triggered, התוקף שרף את ה-PTokens וקיבל USDC. 9

הפער הקטן בין ההערכות אינו מצביע בהכרח על שתי תקריות: הערכת אבטחה אחת דיברה על כ-160 אלף דולר, ואילו נתוני העסקה הובילו לדיווחים על כ-170 אלף דולר, או 163,326 USDC.e. 67

הכנה מוקדמת ויציאה מהירה דרך גשר

חוזה התקיפה נפרס ב-2 בספטמבר, חמישה ימים לפני הניצול. לפי הדיווחים, ארנק התוקף קיבל בתחילה מימון מ-Relay solver. 7

ב-05:56 UTC — 13 דקות בלבד אחרי הניקוז — התוקף אישר את האסימון והעביר את התמורה דרך גשר, עוד לפני ההתראה הפומבית של חברת האבטחה Blockaid. באותו שלב לא דווחה תנועה נוספת מהארנק. 7

המהירות הזו מדגימה בעיה יסודית בתגובה לאירועי DeFi: תנועות על הבלוקצ'יין אמנם גלויות, אך העברה בין רשתות עשויה להרחיק את הכספים במהירות מטווח הפעולה המיידי של הפרוטוקול שנפגע. ב-Optimism, משיכות בין שכבות הן עסקאות חוצות-דומיינים שמתחילות ב-L2 ומושלמות ב-L1. 2

זו לא הייתה הפריצה הראשונה

ב-29 באוגוסט 2025 Cozy Finance כבר נפרצה ב-OP Mainnet ואיבדה כ-427 אלף דולר. אותה תקרית נבעה מחולשה בקוד המשיכות: המנגנון לא אימת את זהות הגורם שהשלים פדיון. 10

שתי הפריצות היו שונות מבחינה טכנית. אירוע 2025 היה כשל בהרשאת משיכה או פדיון; אירוע 2026 נגע לעיצוב מנגנון ההכרעה, הפעלת התביעה ותשלום הפיצוי. אך יחד הן מדגישות שתיקון של פגם אחד בחוזה חכם אינו מבטל סיכונים במעטפת הרחבה יותר — אורקלים, לוגיקת סליקה, תנאי פדיון ומסלולי יציאה בין רשתות. 910

כמעט כל הפעילות של Cozy ב-Optimism

בעת האירוע, Cozy החזיקה לפי הדיווחים בכ-1.3 מיליון דולר TVL — סך נכסים נעולים — בכלל הפרוטוקול, ומתוכם כ-172 אלף דולר ב-Optimism. לכן הניקוז בספטמבר נראה ככזה שרוקן כמעט לחלוטין את הפריסה ברשת זו. 7

Cozy מפעילה שוקי הגנה שנועדו לאפשר למשתמשים לקנות כיסוי מפני אירועי כשל בפרוטוקולי DeFi אחרים. במוצר כזה, אמינות ההכרעה לגבי האירוע ותהליך תשלום התביעה אינן שכבת שוליים; הן לב המוצר. 7

מה האירוע מלמד על אבטחת DeFi

• סיכון אורקל הוא גם סיכון יישומי. אורקל אופטימי פועל לפי מודל של הצעה וחלון לערעור. כאשר תשלום אוטומטי ובעל ערך גבוה נשען על הצעה כוזבת שעלולה לעבור ללא התנגדות, הפרוטוקול המשלב חייב להוסיף אימות עצמאי, תמריצי ערעור והגנות על תשלומים. הכשל כאן היה בתכנון המערכת המשולבת, ולא הוכחה לכך שאורקל לבדו „קובע את האמת”. 69
• קומפוזביליות מרחיבה את משטח התקיפה. המסלול חיבר שוק אסימוני הגנה, מנגנון הכרעה של UMA, לוגיקת ההפעלה של Cozy, כללי הפדיון ויציאה דרך גשר. כל רכיב עשוי להיות סביר בפני עצמו, אך השילוב ביניהם יצר נתיב שניתן היה לנצל. 79
• TVL קטן אינו שכבת הגנה. ביחס לפריצות קריפטו גדולות הסכום אינו עצום, אך עבור נזילות Optimism של Cozy מדובר כמעט בכל הערך — ובנזק שבא לאחר הפסד משמעותי קודם. 710
• רצף הפריצות במרחב נמשך. באותו שבוע דווח גם על הפסד של כ-1.73 מיליון דולר ב-Notional Finance, שיוחס לפגיעות הקשורה בגלישת מספרים שלמים (integer overflow). 7
• מעקב אינו בהכרח השבה. אין בחומרים הזמינים עדות לכך ש-Cozy השיבה את הכספים. גם כאשר ניתן לעקוב אחר נכסים ברשת, הקפאה או החזרה בפועל עשויות לדרוש תיאום בין פרוטוקולים, מפעילי גשרים, בורסות, חברות ניתוח בלוקצ'יין ורשויות אכיפה. 7

הלקח המרכזי לפרוטוקולי „ביטוח” והגנה ב-DeFi הוא לאבטח את כל מחזור החיים של תביעה: אימות אמיתי של האירוע, ניטור ערעורים, צילום מצב של מחזיקים, הרשאות פדיון, מנגנוני עצירה ותוכנית תגובה מתורגלת ליציאה מהירה בין רשתות.