Cozy Finance второй раз за год взломали в Optimism: как через UMA Oracle вывели до $170 тыс.

Cozy Finance 7 сентября 2026 года стал жертвой второго эксплойта в сети Optimism примерно за год. Атакующий превратил ложные, но не оспоренные решения UMA Optimistic Oracle в выплаты из рынков защиты Cozy для Aave v2 и Curve. По разным оценкам, было выведено от $160 тыс. до $170 тыс. — практически вся стоимость, находившаяся в развёртывании протокола в Optimism. 67

Как прошла атака

Ключевая транзакция состоялась 7 сентября в 05:43 UTC. В ней из протокола было выведено примерно 163 326 USDC.e в рамках 63 переводов токенов; одновременно было сожжено около 1,6 млн Cozy PToken (CPT). 7

Сначала атакующий приобрёл PTokens на рынках защиты Aave v2 и Curve. Затем он направил в Optimistic Oracle от UMA ответы «YES», которые никто не оспорил. 6

Проблема заключалась в логике интеграции: механизм запуска выплат Cozy не проводил независимую проверку, действительно ли произошло страхуемое событие — сбой или взлом Aave/Curve. Кроме того, право на выплату по PToken не было привязано к снимку держателей токенов, сделанному до предложения в оракул. Когда рынки получили статус triggered, атакующий сжёг PTokens и забрал USDC. 6

Разница в оценках объясняется методом подсчёта: одна оценка ущерба составляет около $160 тыс., тогда как данные транзакции указывают примерно на $170 тыс., или 163 326 USDC.e. Речь идёт об одном и том же инциденте. 67

Подготовка и быстрый вывод средств

Контракт для атаки был развёрнут 2 сентября — за пять дней до эксплойта. Первоначальное финансирование кошелька атакующего, как сообщалось, поступило от Relay solver. 7

В 05:56 UTC, через 13 минут после вывода средств, атакующий одобрил токен и отправил активы через мост в другую сеть — ещё до публикации публичного предупреждения Blockaid. На момент сообщений дальнейших перемещений с этого кошелька не наблюдалось. 7

Такая скорость усложняет возврат денег. Транзакции в блокчейне прозрачны, однако межсетевые переводы позволяют быстро вывести активы за пределы непосредственной зоны реагирования атакованного протокола. В архитектуре Optimism низкоуровневым интерфейсом для депозитов и выводов служит OptimismPortal, поверх которого работают механизмы межсетевых сообщений и токеновые мосты. 2

Это уже второй инцидент за год

В августе 2025 года Cozy Finance уже потерял в Optimism около $427 тыс. 7

Предыдущая атака была вызвана ошибкой в коде вывода средств: он не проверял, что операцию погашения завершает именно уполномоченная сторона. 7

Инциденты различались технически. В 2025 году речь шла об ошибке авторизации при выводе, а в 2026-м — о конструкции запуска страхового случая через оракул и правилах выплаты. Но оба случая показывают: исправление отдельной уязвимости контракта не устраняет риски в связанной логике оракулов, расчётов и погашения токенов. 67

Почему сумма оказалась критичной

На тот момент общий TVL Cozy Finance, по сообщениям, составлял около $1,3 млн, из которых примерно $172 тыс. приходилось на Optimism. Поэтому сентябрьская атака, вероятно, почти полностью опустошила развёртывание протокола в этой сети. 7

Cozy создаёт рынки защиты от сбоев в DeFi-протоколах. Для такого продукта корректное определение страхового события и безопасный процесс выплат — не вспомогательная функция, а основа всей модели. 7

Что этот случай говорит о рисках DeFi

• Риск оракула — это риск приложения. Модель optimistic oracle предполагает период, в который ложное утверждение должно быть оспорено. Для автоматических выплат на значимые суммы этого недостаточно, если интегрирующий протокол не добавляет независимую проверку, стимулы к оспариванию и ограничения на выплаты. Проблема была в дизайне объединённой системы, а не в том, что один лишь оракул якобы «устанавливает истину». 6
• Композиция протоколов расширяет поверхность атаки. Здесь соединились рынок токенов защиты, разрешение события через UMA, логика триггера Cozy, правила погашения и выход через мост. По отдельности компоненты могут работать штатно, но их сочетание создало путь для извлечения средств. 67
• Небольшой TVL не означает небольшой риск. На фоне крупнейших криптовалютных взломов $160–170 тыс. могут выглядеть умеренной суммой. Однако для Optimism-развёртывания Cozy это была почти вся стоимость, а инцидент произошёл после уже существенной потери годом ранее. 7
• Потери DeFi продолжаются постоянно. В ту же неделю Notional Finance, по сообщениям, потерял около $1,73 млн из-за уязвимости, связанной с целочисленным переполнением. Также сообщалось о потере примерно $91 тыс. у Full Sail и о спорном либо заявленном как white-hat изъятии около $320 млн в биткоинах из Liquid Network. 7
• Отследить средства проще, чем вернуть. В доступных материалах нет данных о возврате активов Cozy. Быстрый вывод через мост, возможные последующие обмены или использование инструментов повышения приватности, а также необходимость координации между протоколами, операторами мостов, биржами, аналитическими компаниями и правоохранительными органами делают возврат средств крайне неопределённым. 27

Главный вывод для DeFi-продуктов, предлагающих «страховку» или защиту: защищать нужно весь жизненный цикл требования — от достоверной проверки события и мониторинга споров до снимков держателей, авторизации погашения, аварийных ограничителей и заранее отработанного плана реакции на быстрый межсетевой вывод активов.