Cozy Finance Diretas Lagi di Optimism, Sekitar US$170 Ribu Raib dalam 13 Menit

Cozy Finance kembali menjadi korban eksploitasi di jaringan Optimism pada 7 September 2026—insiden kedua dalam kira-kira setahun. Pelaku diduga mengubah resolusi palsu yang tidak dibantah pada UMA Optimistic Oracle menjadi pembayaran dari pasar perlindungan Aave v2 dan Curve milik Cozy. Nilai yang terkuras diperkirakan sekitar US$160.000 hingga US$170.000, atau nyaris seluruh nilai aset Cozy yang saat itu berada di Optimism. 67

Kronologi serangan

Transaksi eksploitasi utama terjadi pada pukul 05.43 UTC, 7 September. Transaksi tersebut memindahkan sekitar 163.326 USDC.e melalui 63 transfer token dan membakar kurang lebih 1,6 juta Cozy PToken (CPT). 7

Menurut laporan analisis keamanan, pelaku lebih dulu memperoleh PToken pada pasar perlindungan Aave v2 dan Curve. Setelah itu, ia mengajukan jawaban “YA” kepada UMA Optimistic Oracle, tetapi jawaban tersebut tidak dibantah selama periode yang diperlukan. 6

Masalah utamanya bukan sekadar adanya oracle. Proses pemicu di Cozy disebut tidak memverifikasi secara mandiri bahwa kegagalan atau peretasan Aave/Curve yang menjadi dasar perlindungan benar-benar terjadi. Selain itu, kelayakan menerima pembayaran tidak dikaitkan dengan snapshot pemegang PToken sebelum proposal diajukan. Ketika pasar berstatus triggered, pelaku membakar PToken dan mengklaim USDC. 6

Angka kerugian sedikit berbeda antar-laporan: ada estimasi sekitar US$160.000 dari pencatatan insiden keamanan, sementara pelacakan transaksi menyebut sekitar US$170.000 atau 163.326 USDC.e. Keduanya merujuk pada insiden yang sama. 67

Persiapan dan dana segera dibawa keluar

Kontrak serangan dilaporkan telah dideploy pada 2 September, lima hari sebelum eksploitasi. Dompet pelaku mula-mula menerima dana dari sebuah Relay solver. 7

Pada pukul 05.56 UTC—13 menit setelah pengurasan—pelaku menyetujui token lalu menjembatani dana keluar. Langkah itu terjadi sebelum peringatan publik dari perusahaan keamanan blockchain Blockaid; pada saat laporan dibuat, dompet tersebut disebut belum menunjukkan pergerakan lanjutan. 7

Kecepatan ini memperlihatkan mengapa pemulihan aset curian di DeFi sering sulit. Aktivitas di blockchain memang dapat dilacak, tetapi aset dapat dengan cepat dipindahkan lintas jaringan melalui bridge sebelum protokol sempat menjalankan respons darurat atau koordinasi pembekuan dana.

Bukan insiden pertama

Cozy sebelumnya telah kehilangan sekitar US$427.000 di Optimism pada Agustus 2025. 7

Eksploitasi 2025 itu berbeda secara teknis: sumber masalahnya adalah kode penarikan yang tidak memverifikasi identitas pihak yang menyelesaikan proses penebusan. 7 Adapun serangan 2026 berpusat pada desain pemicu klaim berbasis oracle dan mekanisme pembayaran.

Dua insiden ini menunjukkan bahwa memperbaiki satu kelemahan kontrak tidak otomatis menghilangkan risiko pada bagian sistem lain, seperti logika penyelesaian, oracle, penebusan, dan jalur keluar aset.

Kerugian kecil secara nominal, besar bagi deployment Optimism

Pada waktu kejadian, Cozy dilaporkan memiliki total value locked (TVL)—nilai aset yang terkunci dalam protokol—sekitar US$1,3 juta di seluruh jaringan, dengan sekitar US$172.000 berada di Optimism. Dengan demikian, pengurasan pada September 2026 tampaknya menyapu hampir seluruh aset Cozy di jaringan tersebut. 7

Cozy mengoperasikan pasar perlindungan, yaitu produk DeFi yang dirancang untuk memberi perlindungan terhadap kegagalan protokol lain. Karena itu, keandalan penentuan suatu peristiwa dan pembayaran klaim merupakan inti dari model keamanannya, bukan fitur tambahan. 7

Pelajaran bagi DeFi

• Risiko oracle adalah risiko aplikasi. Oracle optimistis mengandalkan mekanisme sengketa: proposal dapat berlaku bila tidak dibantah. Untuk pembayaran otomatis bernilai besar, desain ini berisiko bila proposal palsu dapat lolos tanpa validasi tambahan, insentif bantahan yang memadai, atau pengamanan pembayaran. Kegagalan di sini terletak pada rancangan sistem gabungan, bukan berarti oracle semata-mata menentukan kebenaran di dunia nyata. 6
• Komposabilitas memperluas permukaan serangan. Jalur serangan menghubungkan pasar PToken, resolusi peristiwa berbasis UMA, logika pemicu Cozy, aturan penebusan, dan bridge. Masing-masing komponen dapat tampak wajar jika berdiri sendiri, tetapi gabungannya menciptakan jalur ekstraksi dana. 67
• TVL kecil bukan berarti dampaknya kecil. Dibanding peretasan kripto terbesar, nilai US$160.000–US$170.000 mungkin relatif kecil. Namun, jumlah itu mencakup hampir semua nilai Cozy di Optimism dan terjadi setelah kerugian sebelumnya—dampak yang material bagi penyedia likuiditas serta kepercayaan pada produk perlindungan DeFi. 7
• Eksploitasi DeFi terus berulang. Pada pekan yang sama, Notional Finance dilaporkan kehilangan sekitar US$1,73 juta akibat kerentanan terkait integer overflow. Laporan juga menyebut kerugian sekitar US$91.000 pada Full Sail serta penarikan Bitcoin sekitar US$320 juta dari Liquid Network yang statusnya diperselisihkan atau diklaim sebagai aksi white hat. 7
• Pemulihan dana masih tidak pasti. Materi yang tersedia tidak menunjukkan bahwa Cozy telah mendapatkan kembali dana tersebut. Pelacakan transaksi bukan berarti aset bisa segera dibekukan atau dikembalikan, terutama jika dana sudah melewati bridge dan kemudian ditukar atau dipindahkan lagi. 7

Inti pelajarannya: produk “asuransi” atau perlindungan DeFi perlu mengamankan seluruh siklus klaim—mulai dari verifikasi kejadian yang autentik, pemantauan sengketa, snapshot pemegang token, otorisasi penebusan, circuit breaker, hingga rencana respons untuk keluarnya aset secara cepat lintas jaringan.