Cozy Finance Digodam Kali Kedua di Optimism: Hampir Semua Dana Rangkaian Lesap

Cozy Finance mengalami eksploit kedua di rangkaian Optimism dalam tempoh kira-kira setahun pada 7 September 2026. Penyerang menggunakan keputusan palsu dalam UMA Optimistic Oracle yang tidak dicabar untuk mencetuskan bayaran daripada pasaran perlindungan Aave v2 dan Curve milik Cozy. Jumlah yang dilesapkan dianggarkan sekitar AS$160,000 hingga AS$170,000—hampir keseluruhan nilai yang dilaporkan berada pada pelaksanaan Cozy di Optimism. 67

Bagaimana serangan berlaku

Transaksi eksploit utama berlaku pada 05:43 UTC, 7 September. Ia memindahkan kira-kira 163,326 USDC.e menerusi 63 pemindahan token, sambil membakar hampir 1.6 juta Cozy PToken (CPT). 7

Menurut laporan, penyerang terlebih dahulu memperoleh PToken dalam pasaran perlindungan Aave v2 dan Curve. Selepas itu, mereka menyerahkan jawapan “YA” kepada UMA Optimistic Oracle. Jawapan tersebut tidak dicabar dalam tempoh pertikaian, sekali gus membolehkan pasaran berkenaan dianggap telah dicetuskan. 6

Masalah terasnya ialah proses pencetus Cozy tidak membuat pengesahan bebas bahawa kegagalan atau insiden Aave/Curve yang dilindungi benar-benar berlaku. Selain itu, kelayakan bayaran PToken tidak diikat kepada rekod pemegang token sebelum cadangan dibuat. Selepas status pasaran bertukar kepada triggered, penyerang membakar PToken dan menuntut USDC. 6

Perbezaan kecil dalam angka kerugian datang daripada kaedah pengiraan: satu anggaran perakaunan keselamatan meletakkan kerugian sekitar AS$160,000, manakala rekod transaksi menunjukkan kira-kira 163,326 USDC.e, lazimnya dilaporkan sebagai sekitar AS$170,000. Kedua-duanya merujuk kepada kejadian yang sama. 67

Kontrak disediakan lebih awal, dana keluar dalam 13 minit

Kontrak serangan telah dikerahkan pada 2 September, iaitu lima hari sebelum eksploit berlaku. Dompet penyerang pula pada awalnya menerima dana daripada penyelesai Relay. 7

Pada 05:56 UTC—hanya 13 minit selepas pengeluaran utama—penyerang meluluskan token dan menjambatankan hasil curi keluar, sebelum amaran awam daripada Blockaid diterbitkan. Laporan ketika itu menyatakan dompet berkenaan belum menunjukkan pergerakan susulan. 7

Kelajuan ini menunjukkan cabaran utama dalam pemulihan aset DeFi. Pemindahan di rantaian memang boleh dilihat secara terbuka, tetapi laluan rentas rantaian boleh mengalihkan dana dengan pantas sebelum tindak balas kecemasan protokol sempat dibuat. Dalam seni bina Optimism, OptimismPortal berfungsi sebagai antara muka peringkat rendah bagi deposit dan pengeluaran, manakala jambatan token dibina di atas lapisan pemesejan rentas domain. 2

Insiden ini berbeza daripada serangan 2025

Cozy sudah pun kehilangan kira-kira AS$427,000 di Optimism pada Ogos 2025. 7

Eksploit terdahulu itu berpunca daripada kod pengeluaran yang tidak mengesahkan identiti pihak yang menyelesaikan penebusan. 7 Serangan 2026 pula melibatkan reka bentuk pencetus tuntutan, oracle dan bayaran—bukan kelemahan kebenaran pengeluaran yang sama.

Namun, dua insiden ini membawa pengajaran serupa: membaiki satu kecacatan kontrak tidak semestinya menghapuskan risiko dalam logik penyelesaian, oracle, tuntutan dan penebusan di sekelilingnya. 67

Kerugian kecil pada angka, besar pada kesannya

Ketika itu, Cozy dilaporkan mempunyai kira-kira AS$1.3 juta jumlah nilai terkunci (TVL) di seluruh protokol, dengan sekitar AS$172,000 berada di Optimism. Ini bermakna eksploit September nampaknya telah menyapu hampir semua nilai Cozy pada rangkaian tersebut. 7

Cozy mengendalikan pasaran perlindungan yang membolehkan pengguna mendapatkan perlindungan terhadap kegagalan protokol DeFi. Oleh itu, ketepatan pengesahan peristiwa dan mekanisme bayaran tuntutan bukan sekadar ciri tambahan—ia adalah teras model keselamatan produk itu sendiri. 7

Apa yang didedahkan oleh kes ini tentang risiko DeFi

• Risiko oracle ialah risiko aplikasi. Oracle optimistik bergantung pada mekanisme pertikaian. Jika cadangan palsu boleh melepasi tempoh itu tanpa cabaran, sedangkan protokol yang menggunakannya tiada pengesahan bebas, insentif cabaran yang memadai atau perlindungan bayaran, pembayaran automatik bernilai tinggi menjadi berisiko. Ini ialah kegagalan reka bentuk sistem gabungan, bukan bukti bahawa oracle semata-mata menentukan kebenaran dunia nyata. 6
• Komposabiliti memperluas permukaan serangan. Laluan serangan menghubungkan pasaran token perlindungan, resolusi peristiwa berasaskan UMA, logik pencetus Cozy, peraturan penebusan dan jalan keluar melalui jambatan. Setiap komponen mungkin munasabah secara berasingan, tetapi gabungannya menghasilkan laluan yang boleh dieksploitasi. 67
• TVL kecil bukan margin keselamatan. Nilai dolar kejadian ini mungkin kecil berbanding penggodaman kripto terbesar, tetapi ia mewakili hampir keseluruhan dana Cozy di Optimism dan berlaku selepas kerugian terdahulu. Kesannya tetap besar kepada penyedia kecairan serta keyakinan terhadap protokol perlindungan. 7
• Eksploit DeFi terus berlaku. Pada minggu yang sama, Notional Finance dilaporkan kehilangan kira-kira AS$1.73 juta akibat kelemahan berkaitan limpahan integer. Insiden lain termasuk kerugian Full Sail sekitar AS$91,000 serta pengeluaran sekitar AS$320 juta dalam Bitcoin daripada Liquid Network yang dipertikaikan atau didakwa sebagai tindakan “white hat”. 7
• Mendapatkan semula dana kekal sukar. Tiada bukti dalam bahan yang tersedia bahawa Cozy telah mendapatkan semula aset tersebut. Penjejakan di rantaian mungkin boleh dilakukan, tetapi pembekuan atau pemulangan dana memerlukan penyelarasan antara protokol, pengendali jambatan, bursa, firma analitik dan pihak berkuasa—lebih-lebih lagi jika dana kemudiannya ditukar atau dialihkan melalui alat privasi. 27

Pengajaran utamanya: produk “insurans” atau perlindungan DeFi perlu melindungi seluruh kitaran tuntutan—pengesahan peristiwa yang sah, pemantauan pertikaian, rekod pemegang token sebelum cadangan, kebenaran penebusan, pemutus litar serta pelan tindak balas yang diuji bagi pengeluaran pantas merentas rantaian.