Cozy Finance sofre segundo ataque na Optimism e perde até US$ 170 mil

A Cozy Finance sofreu seu segundo exploit na rede Optimism em aproximadamente um ano em 7 de setembro de 2026. O invasor explorou a liquidação de mercados de proteção da plataforma: respostas falsas, que não foram contestadas, no Optimistic Oracle da UMA acabaram acionando pagamentos indevidos ligados aos mercados de Aave v2 e Curve. A perda foi estimada entre US$ 160 mil e US$ 170 mil, valor que aparentemente representava quase toda a operação da Cozy na Optimism. 67

Como o ataque funcionou

A transação decisiva ocorreu às 05h43 UTC de 7 de setembro. Ela retirou aproximadamente 163.326 USDC.e em 63 transferências de tokens e queimou cerca de 1,6 milhão de Cozy PToken (CPT). 7

Segundo os relatos sobre o incidente, o atacante primeiro adquiriu PTokens dos mercados de proteção de Aave v2 e Curve. Em seguida, submeteu respostas “SIM” ao Optimistic Oracle da UMA, sem que elas fossem contestadas dentro do mecanismo previsto. 69

O problema estava na integração e no desenho dos pagamentos: o processo de acionamento da Cozy não verificava de forma independente se a falha coberta em Aave ou Curve havia realmente acontecido. Além disso, o direito ao pagamento não dependia de um retrato dos detentores de PTokens anterior à proposta. Quando os mercados passaram ao estado de acionados, o invasor queimou os tokens e resgatou USDC. 9

A diferença entre as estimativas — cerca de US$ 160 mil em análises de segurança e aproximadamente US$ 170 mil, ou 163.326 USDC.e, em registros baseados na transação — parece refletir métodos distintos de avaliação do mesmo evento. 67

Preparação e saída rápida dos fundos

O contrato usado no ataque foi implantado em 2 de setembro, cinco dias antes da exploração. A carteira do atacante recebeu inicialmente recursos de um solver da Relay, segundo os rastros citados nos relatórios. 7

Às 05h56 UTC, somente 13 minutos após a drenagem, o invasor aprovou o token e enviou os recursos para fora por uma ponte entre redes — antes do alerta público da empresa de segurança Blockaid. Naquele momento, os relatos indicavam que não havia novos movimentos na carteira. 7

A rapidez ajuda a explicar por que recuperar ativos roubados em DeFi é tão difícil. As movimentações na blockchain podem ser rastreadas, mas a transferência para outra rede reduz drasticamente o tempo disponível para uma resposta emergencial e para tentativas de bloqueio em serviços posteriores.

O precedente de agosto de 2025

A Cozy já havia perdido cerca de US$ 427 mil na Optimism em agosto de 2025. 7

Naquele caso, a vulnerabilidade estava no código de saque: ele não conferia a identidade da parte que concluía um resgate. 7

Os dois episódios são tecnicamente diferentes. O de 2025 envolveu uma falha de autorização de retirada; o de 2026 combinou o acionamento de sinistros por oráculo com regras de pagamento. Ainda assim, a sequência mostra que corrigir um defeito isolado não elimina riscos nas demais etapas — como liquidação, validação de eventos e resgate de ativos. 67

Quase toda a operação na Optimism teria sido afetada

Na época, a Cozy teria aproximadamente US$ 1,3 milhão em valor total bloqueado (TVL) no protocolo e cerca de US$ 172 mil na Optimism. Com isso, a drenagem de setembro aparentemente consumiu praticamente todo o valor alocado na rede. 7

A Cozy opera mercados de proteção voltados a cobrir falhas em protocolos de finanças descentralizadas. Por isso, a confiabilidade da resolução dos eventos e do pagamento de indenizações não é um detalhe operacional: é parte central do produto.

O que o caso revela sobre os riscos em DeFi

• O risco do oráculo também é risco da aplicação. Oráculos otimistas funcionam com um período de contestação. Para pagamentos automatizados de alto valor, respostas falsas que passam sem contestação exigem controles adicionais da aplicação, incentivos adequados para contestar e salvaguardas de pagamento. O caso aponta para uma falha no sistema integrado, não para a ideia de que um oráculo, isoladamente, determina a verdade. 69
• A composabilidade amplia a superfície de ataque. O caminho explorado reuniu mercado de tokens de proteção, resolução de eventos baseada na UMA, lógica de acionamento da Cozy, regras de resgate e uma rota de saída por ponte. Componentes que podem fazer sentido separadamente criaram, em conjunto, uma rota de extração. 67
• TVL menor não é margem de segurança. Embora o valor seja pequeno diante dos maiores hacks do setor, ele teria representado quase todo o capital da Cozy na Optimism — e veio depois de uma perda anterior relevante. 7
• A semana já registrava outros ataques. A Notional Finance teria perdido cerca de US$ 1,73 milhão em uma vulnerabilidade relacionada a overflow de inteiros. Também foram relatados uma perda de aproximadamente US$ 91 mil na Full Sail e uma retirada de cerca de US$ 320 milhões em Bitcoin da Liquid Network, descrita como operação white hat por uma das partes envolvidas. 7

Não há, no material disponível, indicação de que a Cozy tenha recuperado os fundos. A lição para produtos de “seguro” ou proteção em DeFi é que todo o ciclo de sinistro precisa ser protegido: verificação real do evento, monitoramento de contestações, snapshots de titulares, autorização de resgates, mecanismos de interrupção e um plano de resposta preparado para saídas rápidas entre redes. 67