Cozy Finance tömdes på runt 170 000 dollar i ny Optimism-attack

Cozy Finance utsattes för sin andra exploit på Optimism på ungefär ett år den 7 september 2026. Angriparen använde falska svar som inte bestriddes i UMA:s Optimistic Oracle för att utlösa ersättningar från Cozys skyddsmarknader för Aave v2 och Curve. Förlusten uppskattas till omkring 160 000–170 000 dollar – i praktiken nästan hela det rapporterade värdet i protokollets Optimism-distribution. 67

Så gick attacken till

Den avgörande transaktionen genomfördes klockan 05.43 UTC den 7 september. Omkring 163 326 USDC.e flyttades i 63 tokenöverföringar, samtidigt som cirka 1,6 miljoner Cozy PToken (CPT) brändes. 7

Angriparen köpte först PTokens i skyddsmarknaderna för Aave v2 och Curve. Därefter lämnade personen in svaren ”JA” till UMA:s Optimistic Oracle. Svaren bestriddes inte. 6

En optimistisk oracle utgår från att ett inlämnat påstående gäller om ingen invänder under den angivna tidsperioden. I detta fall kontrollerade Cozys utlösningsprocess inte självständigt att den påstådda händelsen – ett fel eller angrepp mot Aave eller Curve – faktiskt hade inträffat. Rätten till utbetalning var dessutom inte bunden till en ögonblicksbild av vilka som ägde PTokens före förslaget. När marknaderna markerades som utlösta kunde angriparen lösa in sina PTokens mot USDC. 6

Uppgifterna om förlustens storlek skiljer sig därför något: en säkerhetsbedömning anger omkring 160 000 dollar, medan transaktionsbaserad rapportering pekar på cirka 170 000 dollar eller 163 326 USDC.e. Det rör sig dock om samma händelse. 67

Förberett i förväg – och ut ur nätverket på 13 minuter

Attackkontraktet distribuerades den 2 september, fem dagar före exploiten. Angriparens plånbok fick inledningsvis finansiering från en Relay-solver. 7

Klockan 05.56 UTC, bara 13 minuter efter uttaget, godkände angriparen tokenen och bryggade medlen ut. Det skedde innan Blockaids offentliga varning. Vid rapporteringstillfället syntes inga ytterligare rörelser från plånboken. 7

Händelsen visar varför återvinning ofta är svår även när transaktionerna är offentliga. Medel kan följas på blockkedjan, men snabb routing mellan kedjor kan föra dem utom räckhåll för protokollets akuta åtgärder. I Optimisms arkitektur är OptimismPortal det grundläggande gränssnittet för insättningar och uttag, medan tokenbryggor ligger ovanpå lagret för meddelanden mellan kedjor. 2

Den tidigare attacken 2025 var tekniskt annorlunda

Cozy hade redan förlorat cirka 427 000 dollar på Optimism i augusti 2025. 7

Den incidenten berodde på kod för uttag som inte kontrollerade identiteten på den part som slutförde en inlösen. 7

Angreppen var alltså tekniskt olika. Exploiten 2025 handlade om behörighetskontroll vid uttag, medan den nya attacken rörde oracle-svar, utlösning av ersättningskrav och utformningen av utbetalningar. Tillsammans visar de att en fix av en enskild kontraktsbrist inte eliminerar riskerna i den omgivande logiken för avveckling, oracles och inlösen. 67

Nästan hela Optimism-värdet tycks ha försvunnit

Vid tillfället uppgavs Cozy ha omkring 1,3 miljoner dollar i totalt låst värde, TVL, över hela protokollet och cirka 172 000 dollar på Optimism. Uttaget i september tycks därmed ha svept med sig i stort sett hela Optimism-distributionen. 7

Cozy driver skyddsmarknader där användare kan köpa skydd mot fel i andra DeFi-protokoll. Därför är tillförlitlig händelsebedömning och korrekta ersättningsutbetalningar inte sidofunktioner, utan själva kärnan i säkerhetsmodellen. 7

Vad incidenten säger om riskerna i DeFi

• Oracle-risk blir applikationsrisk. En oracle som bygger på invändningar är olämplig för automatiska utbetalningar med höga värden om felaktiga förslag kan passera utan bestridande och det integrerande protokollet saknar egen kontroll, tillräckliga incitament för invändningar eller skydd i utbetalningsflödet. Det handlar om brister i det sammansatta systemet – inte om att en oracle ensam avgör vad som är sant i verkligheten. 6
• Komponerbara protokoll ger fler angreppsytor. Här kopplades en marknad för skyddstoken, UMA-baserad händelsebedömning, Cozys utlösningslogik, regler för inlösen och en brygga för utflöde samman. Delarna kan var för sig fungera rimligt, medan kombinationen skapade en väg att tömma medel. 67
• Låg TVL är ingen säkerhetsmarginal. Beloppet är litet jämfört med de största kryptostölderna, men motsvarade nära nog allt värde på Optimism och kom efter en tidigare stor förlust. Det är betydande för berörda likviditetsleverantörer och för förtroendet för ett skyddsprotokoll. 7
• Veckan visade fortsatt hög exploit-aktivitet. Notional Finance ska enligt uppgift ha förlorat cirka 1,73 miljoner dollar i en sårbarhet kopplad till heltalsöverskridning. Andra incidenter omfattade en Full Sail-förlust på cirka 91 000 dollar och ett omtvistat, påstått white-hat-uttag på omkring 320 miljoner dollar i bitcoin från Liquid Network. 7
• Återvinningen är fortsatt osäker. Det tillgängliga underlaget visar inte att Cozy fått tillbaka pengarna. Snabb bryggning, möjliga senare växlingar eller integritetsverktyg samt behovet av samordning mellan protokoll, bryggoperatörer, börser, analysföretag och brottsbekämpande myndigheter gör det oftast enklare att spåra än att frysa eller återföra tillgångarna. 27

Den centrala lärdomen är att DeFi-produkter som marknadsförs som försäkring eller skydd måste säkra hela ersättningskedjan: verifiering av verkliga händelser, övervakning av invändningar, ögonblicksbilder av innehavare, behörighetskontroll vid inlösen, nödstopp och en övad plan för snabba utflöden mellan kedjor.