Cozy Finance, Optimism’de ikinci kez saldırıya uğradı: Yaklaşık 170 bin dolar çekildi

Cozy Finance, 7 Eylül 2026’da Optimism ağında yaklaşık bir yıl içindeki ikinci istismarı yaşadı. Saldırgan, UMA Optimistic Oracle’daki itiraz mekanizmasından geçmeyen yanlış sonuçları kullanarak Cozy’nin Aave v2 ve Curve koruma piyasalarından ödeme aldı. Kayıp farklı hesaplamalarda yaklaşık 160 bin ila 170 bin dolar olarak verildi; bu tutar, protokolün Optimism’deki bildirilen değerinin neredeyse tamamına karşılık geliyor. 67

Saldırı nasıl gerçekleşti?

Saldırının belirleyici işlemi 7 Eylül’de saat 05.43 UTC’de yapıldı. İşlemde 63 token transferiyle yaklaşık 163.326 USDC.e çıkarıldı ve yaklaşık 1,6 milyon Cozy PToken (CPT) yakıldı. 7

Saldırgan önce Aave v2 ve Curve koruma piyasalarından PToken edindi. Ardından UMA Optimistic Oracle’a “EVET” yönünde, itiraz edilmeyen yanlış yanıtlar gönderdi. 6

Sorunun merkezinde, Cozy’nin tetikleme sürecinin kapsama konu Aave ya da Curve olayının gerçekten yaşanıp yaşanmadığını bağımsız olarak doğrulamaması vardı. Ayrıca ödeme hakkı, tekliften önceki token sahiplerinin anlık görüntüsüne bağlanmamıştı. Piyasalar tetiklenmiş olarak işaretlenince saldırgan PToken’larını yakıp karşılığında USDC aldı. 6

Kayıp rakamındaki fark, aynı olaya ilişkin farklı değerleme yöntemlerinden kaynaklanıyor: güvenlik analizlerinde yaklaşık 160 bin dolar, işlem verilerinde ise 163.326 USDC.e ya da yaklaşık 170 bin dolar bildirildi. 67

Saldırgan önceden hazırlandı, fonları 13 dakikada köprüledi

Saldırıda kullanılan kontratın olaydan beş gün önce, 2 Eylül’de dağıtıma açıldığı bildirildi. Saldırganın cüzdanına ilk fonlama da bir Relay çözücüsünden geldi. 7

Saat 05.56 UTC’de, yani boşaltma işleminden yalnızca 13 dakika sonra saldırgan token için onay verdi ve fonları bir köprü üzerinden ağ dışına taşıdı. Bu adımın, Blockaid’in kamuya açık uyarısından önce atıldığı aktarıldı. O aşamada cüzdanda daha sonraki hareket görülmediği belirtildi. 7

Bu hız, çalınan varlıkların geri alınmasının neden zor olduğunu ortaya koyuyor. Zincir üstü hareketler görünür olsa da fonlar köprüler üzerinden başka ağlara hızla taşınabiliyor. Böyle bir durumda protokoller, köprü operatörleri, borsalar, zincir analiz şirketleri ve kolluk kuvvetleri arasında koordinasyon gerekebiliyor; iz sürmek, fonları dondurmak veya geri getirmek anlamına gelmiyor. 27

Ağustos 2025’teki olaydan teknik olarak farklıydı

Cozy Finance, Optimism’de Ağustos 2025’te de yaklaşık 427 bin dolar kaybetmişti. 7

Önceki saldırı, bir itfa işlemini tamamlayan tarafın kimliğini doğrulamayan para çekme kodundaki açıktan kaynaklanmıştı. 7

İki olayın teknik sebebi aynı değildi: 2025’teki vaka para çekme yetkilendirmesiyle ilgiliydi; 2026’daki olay ise oracle/hasar tetikleme ve ödeme tasarımındaki zafiyetle bağlantılıydı. Buna rağmen ikisi birlikte, tek bir akıllı sözleşme hatasının giderilmesinin oracle, mutabakat ve itfa katmanlarındaki diğer riskleri ortadan kaldırmadığını gösteriyor. 67

Kayıp, Optimism dağıtımının neredeyse tamamını kapsıyor olabilir

O sırada Cozy’nin protokol genelindeki kilitli toplam değerinin (TVL) yaklaşık 1,3 milyon dolar, Optimism tarafındaki değerinin ise yaklaşık 172 bin dolar olduğu bildirildi. Bu nedenle eylül ayındaki çekim, Optimism’deki varlıkların neredeyse tamamının boşaltıldığına işaret ediyor. 7

Cozy, kullanıcıların diğer DeFi protokollerindeki hack, teminat sabitinin bozulması veya benzeri olaylara karşı koruma satın almasına imkân veren koruma piyasaları işletiyor. Bu modelde olayın doğru biçimde tespit edilmesi ve ödemenin doğru hak sahiplerine yapılması, ürünün güvenlik mimarisinin temel parçası. 7

DeFi için çıkarımlar

• Oracle riski, uygulama riskidir. İtiraza dayalı çalışan bir optimistic oracle, yanlış tekliflerin itiraz edilmeden geçebildiği ve entegre eden protokolün bağımsız doğrulama, yeterli itiraz teşviki ya da ödeme koruması sunmadığı durumlarda yüksek tutarlı otomatik ödemeler için risk oluşturabilir. Sorun yalnızca oracle’da değil, bileşik sistem tasarımındaydı. 6
• Birleştirilebilirlik saldırı yüzeyini büyütür. Koruma token piyasası, UMA tabanlı olay çözümü, Cozy’nin tetikleme mantığı, itfa kuralları ve köprüyle çıkış yolu aynı saldırı zincirinde birleşti. Bileşenler tek başına makul görünse bile birleşimleri sömürülebilir bir yol yaratabilir. 67
• Düşük TVL güvenlik payı değildir. Tutar, en büyük kripto saldırılarıyla kıyaslandığında sınırlı görünse de Optimism dağıtımının neredeyse tamamını kapsıyor ve önceki kaybın ardından geldi. Bu, likidite sağlayıcıları ve bir koruma protokolüne duyulan güven açısından önemli bir hasar anlamına geliyor. 7
• Saldırı yoğunluğu sürüyor. Aynı dönemde Notional Finance’in, tamsayı taşmasıyla bağlantılı bir açık nedeniyle yaklaşık 1,73 milyon dolar kaybettiği bildirildi. Ayrı vakalar arasında yaklaşık 91 bin dolarlık Full Sail kaybı ve Liquid Network’ten yaklaşık 320 milyon dolarlık Bitcoin çıkarılmasına ilişkin ihtilaflı, “white-hat” olarak nitelenen bir işlem de yer aldı. 7

Mevcut bilgilerde Cozy’nin fonları geri aldığına ilişkin bir kanıt bulunmuyor. Olayın ana dersi şu: DeFi’de “sigorta” ya da koruma ürünü sunan sistemlerin yalnızca akıllı sözleşmelerini değil, hasar sürecinin tamamını güvenceye alması gerekir. Buna gerçek olayın doğrulanması, itirazların izlenmesi, token sahipliği anlık görüntüleri, itfa yetkilendirmesi, acil durdurma mekanizmaları ve hızlı zincirler arası çıkışlara karşı önceden test edilmiş müdahale planları dahildir.