Cozy Finance पर दूसरा हमला: फर्जी UMA Oracle रिज़ॉल्यूशन से Optimism पर करीब 1.7 लाख डॉलर निकाले गए

Cozy Finance को लगभग एक वर्ष के भीतर Optimism नेटवर्क पर दूसरी बार एक्सप्लॉइट का सामना करना पड़ा। 7 सितंबर 2026 को हमलावर ने UMA Optimistic Oracle के फर्जी लेकिन बिना चुनौती वाले रिज़ॉल्यूशन को Cozy के Aave v2 और Curve प्रोटेक्शन मार्केट में भुगतान ट्रिगर करने के लिए इस्तेमाल किया। नुकसान का अनुमान करीब 1.6 लाख से 1.7 लाख डॉलर है—जो Optimism पर प्रोटोकॉल में रिपोर्ट की गई लगभग पूरी वैल्यू के बराबर था। 67

हमला कैसे हुआ

Cozy ऐसे प्रोटेक्शन मार्केट चलाता है जिनमें उपयोगकर्ता DeFi प्रोटोकॉल में हैक या अन्य तय जोखिम-घटना के खिलाफ कवरेज ले सकते हैं। इस मामले में हमलावर ने पहले Aave v2 और Curve से जुड़े प्रोटेक्शन मार्केट के PToken खरीदे। फिर उसने UMA के Optimistic Oracle में “YES” उत्तर प्रस्तुत किए, जिनका अर्थ था कि कवर की गई घटना हो चुकी है। इन उत्तरों को विवाद अवधि के दौरान चुनौती नहीं मिली। 6

समस्या यह थी कि Cozy का ट्रिगर तंत्र कथित Aave/Curve विफलता की स्वतंत्र पुष्टि नहीं कर रहा था। साथ ही, भुगतान की पात्रता प्रस्ताव से पहले टोकन रखने वालों के स्नैपशॉट से नहीं जुड़ी थी। मार्केट के “triggered” होने के बाद हमलावर ने PToken बर्न करके USDC का भुगतान ले लिया। 6

लेनदेन-आधारित रिपोर्टिंग के अनुसार निर्णायक ट्रांजैक्शन 7 सितंबर को 05:43 UTC पर हुई। इसमें 63 टोकन ट्रांसफर के जरिए लगभग 163,326 USDC.e निकाले गए और करीब 16 लाख Cozy PToken (CPT) बर्न हुए। अलग-अलग रिपोर्टों में नुकसान का आंकड़ा करीब 1.6 लाख या 1.7 लाख डॉलर बताया गया है, लेकिन वे इसी घटना का वर्णन करती हैं। 67

तैयारी और 13 मिनट में फंड बाहर

रिपोर्ट के मुताबिक अटैक कॉन्ट्रैक्ट एक्सप्लॉइट से पांच दिन पहले, 2 सितंबर को डिप्लॉय किया गया था। हमलावर के वॉलेट को शुरुआती फंड एक Relay solver से मिला था। 7

रकम निकालने के सिर्फ 13 मिनट बाद, 05:56 UTC पर, हमलावर ने टोकन अप्रूव कर फंड को ब्रिज के जरिए बाहर भेज दिया—यह सार्वजनिक Blockaid अलर्ट से भी पहले हुआ। उस समय उपलब्ध रिपोर्टों में वॉलेट से आगे कोई गतिविधि दर्ज नहीं थी। 7

यही तेज़ी रिकवरी को मुश्किल बनाती है। ऑन-चेन लेनदेन सार्वजनिक रूप से दिख सकते हैं, लेकिन दूसरे नेटवर्क पर फंड पहुंचने के बाद उन्हें फ्रीज़ या वापस पाना प्रोटोकॉल, ब्रिज ऑपरेटरों, एक्सचेंजों, एनालिटिक्स फर्मों और कानून-प्रवर्तन एजेंसियों के समन्वय पर निर्भर हो जाता है।

अगस्त 2025 की घटना से क्या अंतर है

Cozy Finance ने अगस्त 2025 में भी Optimism पर करीब 4.27 लाख डॉलर गंवाए थे। उस समय समस्या withdrawal कोड में थी: रिडेम्प्शन पूरा करने वाले पक्ष की पहचान सही ढंग से सत्यापित नहीं की जा रही थी। 7

दोनों हमले तकनीकी रूप से अलग थे:

• 2025: withdrawal authorization की कमी। 7
• 2026: oracle/claims trigger और payout डिजाइन की कमजोरी। 67

फिर भी, दोनों घटनाएं एक ही व्यापक बात दिखाती हैं: किसी एक स्मार्ट-कॉन्ट्रैक्ट बग को ठीक कर देना पर्याप्त नहीं है। ऑरेकल, सेटलमेंट, रिडेम्प्शन नियम और इमरजेंसी-रिस्पॉन्स जैसे आसपास के हिस्से भी उतने ही महत्वपूर्ण हो सकते हैं।

नुकसान का पैमाना

घटना के समय Cozy में कुल मिलाकर करीब 13 लाख डॉलर TVL और Optimism पर लगभग 1.72 लाख डॉलर होने की रिपोर्ट थी। इस हिसाब से सितंबर 2026 का ड्रेन Optimism डिप्लॉयमेंट की लगभग पूरी वैल्यू को ले गया प्रतीत होता है। 7

रकम बड़ी क्रिप्टो हैक्स की तुलना में छोटी लग सकती है, लेकिन प्रभावित लिक्विडिटी प्रदाताओं और ऐसे प्रोटोकॉल के भरोसे के लिए यह बड़ा झटका है, जिसका मूल उद्देश्य ही DeFi जोखिमों से सुरक्षा देना है। 7

DeFi के लिए मुख्य सबक

• ऑरेकल का जोखिम, एप्लिकेशन का जोखिम भी है। Optimistic Oracle मॉडल में प्रस्ताव को चुनौती न मिलने पर वह स्वीकार हो सकता है। यदि उसी नतीजे से ऊंचे मूल्य का स्वचालित भुगतान होता है, तो इंटीग्रेट करने वाले प्रोटोकॉल को स्वतंत्र सत्यापन, पर्याप्त चुनौती प्रोत्साहन और भुगतान सुरक्षा उपाय चाहिए। 6
• कम्पोज़ेबिलिटी हमला सतह बढ़ाती है। इस मामले में प्रोटेक्शन-टोकन मार्केट, UMA-आधारित इवेंट रिज़ॉल्यूशन, Cozy का ट्रिगर लॉजिक, रिडेम्प्शन नियम और ब्रिज निकासी एक साथ जुड़ गए। अलग-अलग घटक काम के हो सकते हैं, लेकिन उनका संयोजन शोषण योग्य रास्ता बना सकता है। 67
• कम TVL सुरक्षा कवच नहीं है। छोटा डिप्लॉयमेंट भी हमलावर के लिए आकर्षक हो सकता है, खासकर अगर उसकी लगभग पूरी वैल्यू एक ही लेनदेन-श्रृंखला में निकाली जा सके। 7
• रिकवरी अनिश्चित रहती है। उपलब्ध सामग्री में Cozy द्वारा रकम बरामद किए जाने का कोई प्रमाण नहीं है। फास्ट ब्रिजिंग और संभावित आगे के स्वैप फंड को ट्रेस करना और वास्तव में वापस लाना—दो अलग बातें बना देते हैं। 7

उसी सप्ताह DeFi एक्सप्लॉइट की रफ्तार भी बनी रही: Notional Finance को integer-overflow से जुड़ी बताई गई कमजोरी में करीब 17.3 लाख डॉलर का नुकसान हुआ। 7

Cozy की घटना का सार यह है कि DeFi “इंश्योरेंस” या प्रोटेक्शन उत्पाद को दावे की पूरी श्रृंखला सुरक्षित बनानी होती है—वास्तविक घटना की पुष्टि, विवादों की निगरानी, होल्डर स्नैपशॉट, रिडेम्प्शन की अनुमति जांच, सर्किट ब्रेकर और क्रॉस-चेन निकासी के लिए तैयार प्रतिक्रिया योजना।