Cozy Finance rammet igjen: Falske oracle-svar utløste utbetalinger på Optimism

Cozy Finance ble rammet av sitt andre angrep på Optimism på om lag ett år 7. september 2026. Angriperen utnyttet falske, ubestridte avgjørelser i UMA Optimistic Oracle til å utløse utbetalinger fra Cozys beskyttelsesmarkeder for Aave v2 og Curve. Tapet er anslått til rundt 160.000–170.000 dollar – tilsynelatende nesten hele verdien som var låst på protokollens Optimism-distribusjon. 67

Slik fungerte angrepet

Den avgjørende transaksjonen skjedde kl. 05.43 UTC 7. september. Den flyttet rundt 163.326 USDC.e gjennom 63 tokenoverføringer og brente om lag 1,6 millioner Cozy PToken (CPT). 7

Først skaffet angriperen seg PTokens i beskyttelsesmarkedene for Aave v2 og Curve. Deretter ble det sendt inn «JA»-svar til UMA Optimistic Oracle, uten at svarene ble bestridt. 6

En optimistic oracle bygger på at påstander kan bli utfordret innen en frist. Her ble det ikke gjort en uavhengig kontroll av om den dekkede Aave- eller Curve-hendelsen faktisk hadde skjedd. I tillegg var ikke retten til utbetaling knyttet til et øyeblikksbilde av hvem som eide tokenene før forslaget ble lagt frem. Da markedene ble markert som utløst, kunne angriperen løse inn PTokens mot USDC. 6

Ulike rapporter oppgir derfor litt forskjellige tapstall: rundt 160.000 dollar i ett sikkerhetsestimat, mot rundt 170.000 dollar eller 163.326 USDC.e i transaksjonsbasert rapportering. Begge beskriver samme hendelse. 67

Kontrakten var klar fem dager i forveien

Angrepskontrakten ble distribuert 2. september, fem dager før uttaket. Angriperens lommebok hadde først mottatt midler fra en Relay-solver, ifølge rapporteringen. 7

Kl. 05.56 UTC – bare 13 minutter etter at midlene ble tappet – godkjente angriperen tokenet og sendte pengene ut via en krysskjedebro, før den offentlige varslingen fra sikkerhetsselskapet Blockaid. På rapporteringstidspunktet hadde lommeboken ikke vist ytterligere bevegelser. 7

Hastigheten illustrerer et grunnproblem ved DeFi-hendelser: Overføringer på blokkjeden er synlige, men verdier kan raskt flyttes til en annen kjede. Det gjør sporing mulig, men ikke nødvendigvis frys eller tilbakeføring av midlene.

Andre Optimism-tap på litt over ett år

Cozy hadde allerede mistet om lag 427.000 dollar i et angrep på Optimism i august 2025. 7

Det tidligere angrepet skyldtes uttakskode som ikke kontrollerte identiteten til parten som fullførte en innløsning. 7 De to hendelsene var dermed teknisk forskjellige: I 2025 var problemet autorisasjonen ved uttak, mens 2026-angrepet handlet om oracle-baserte krav, utløsningslogikk og utformingen av utbetalingene. 67

Fellesnevneren er likevel viktig: En rettelse i én smartkontrakt fjerner ikke nødvendigvis risikoen i tilgrensende logikk for oppgjør, orakler og innløsning.

Nær hele Optimism-verdien kan ha forsvunnet

Cozy skal på tidspunktet ha hatt omtrent 1,3 millioner dollar i total verdi låst i protokollen, hvorav rundt 172.000 dollar på Optimism. September-angrepet ser dermed ut til å ha tømt nesten hele Optimism-distribusjonen. 7

Cozy driver beskyttelsesmarkeder der brukere kan kjøpe dekning mot feil og uønskede hendelser i andre DeFi-protokoller. Derfor er troverdig hendelsesavgjørelse og sikre utbetalinger helt sentrale deler av sikkerhetsmodellen – ikke bare støttefunksjoner. 7

Hva saken sier om DeFi-risiko

• Oracle-risiko er også applikasjonsrisiko. En modell som bygger på at uriktige påstander blir bestridt, er sårbar når automatiske utbetalinger har høy verdi og falske forslag kan passere uten motstand. Integrasjonen må ha egne kontroller, gode insentiver for innsigelser og begrensninger på utbetalinger. 6
• Sammensetning skaper nye angrepsflater. Angrepet koblet sammen et marked for beskyttelsestokener, UMA-basert hendelsesavgjørelse, Cozys utløsningslogikk, innløsningsregler og en bro ut av kjeden. Hver enkelt del kan være rimelig isolert sett, men kombinasjonen åpnet en vei til uttak. 67
• Lav TVL er ingen sikkerhetsbuffer. Beløpet var begrenset sammenlignet med de største kryptotyveriene, men representerte nesten all verdi på Optimism og kom etter et tidligere tap. Det er betydelig for likviditetsleverandører og tilliten til en protokoll som skal tilby beskyttelse. 7
• Gjenoppretting er fortsatt usikker. Det foreligger ikke opplysninger i materialet om at Cozy har fått tilbake midlene. Rask brooverføring, mulige senere bytter og behovet for samordning mellom protokoller, børser, analyseaktører og myndigheter gjør tilbakeføring langt vanskeligere enn ren sporing. 7

Den viktigste lærdommen er at DeFi-produkter som markedsføres som forsikring eller beskyttelse, må sikre hele kravsprosessen: reell verifisering av hendelser, aktiv overvåking av innsigelsesfrister, eier-øyeblikksbilder, kontroll av innløsningsrett, nødstopper og en innøvd plan for raske uttak på tvers av kjeder.