Cozy Finance bị rút khoảng 170.000 USD trong vụ khai thác thứ hai trên Optimism

Diễn biến vụ khai thác

Cozy Finance bị khai thác lần thứ hai trên mạng Optimism trong khoảng một năm vào ngày 7/9/2026. Kẻ tấn công đã biến các kết quả sai, không bị phản đối của UMA Optimistic Oracle thành khoản chi trả từ những thị trường bảo vệ Aave v2 và Curve của Cozy, rút khoảng 160.000–170.000 USD — gần như toàn bộ giá trị được báo cáo trên triển khai Optimism của giao thức. 67

Giao dịch khai thác chính diễn ra lúc 05:43 UTC ngày 7/9. Giao dịch này chuyển khoảng 163.326 USDC.e qua 63 lần chuyển token, đồng thời đốt khoảng 1,6 triệu Cozy PToken (CPT). 7

Theo các phân tích được công bố, kẻ tấn công trước hết mua PToken trong các thị trường bảo vệ Aave v2 và Curve, sau đó gửi các câu trả lời “YES” tới UMA Optimistic Oracle mà không bị bên nào phản đối. Quy trình kích hoạt của Cozy không tự xác minh độc lập liệu sự cố được bảo vệ tại Aave hoặc Curve có thực sự xảy ra hay không. Ngoài ra, quyền nhận chi trả của PToken không gắn với ảnh chụp số dư người nắm giữ trước thời điểm đề xuất. Khi thị trường chuyển sang trạng thái kích hoạt, kẻ tấn công đốt PToken để nhận USDC. 6

Chênh lệch giữa các số liệu thiệt hại — khoảng 160.000 USD theo một ước tính an ninh và khoảng 170.000 USD, tương ứng 163.326 USDC.e, theo dữ liệu giao dịch — dường như là khác biệt về cách định giá cùng một sự kiện. 67

Chuẩn bị trước và rút tiền qua bridge

Hợp đồng phục vụ cuộc tấn công được triển khai ngày 2/9, tức năm ngày trước vụ khai thác; ví của kẻ tấn công ban đầu nhận tiền từ một Relay solver. 7

Lúc 05:56 UTC, chỉ 13 phút sau khi rút tiền, kẻ tấn công đã phê duyệt token và chuyển tài sản qua bridge, trước khi cảnh báo công khai của Blockaid xuất hiện. Ở thời điểm các báo cáo được đưa ra, ví này chưa ghi nhận giao dịch tiếp theo. 7

Tốc độ này cho thấy vì sao việc thu hồi tài sản bị đánh cắp trong DeFi rất khó: hoạt động trên chuỗi có thể quan sát được, nhưng tài sản có thể nhanh chóng đi qua mạng khác trước khi giao thức kịp phản ứng khẩn cấp. Trong kiến trúc Optimism, OptimismPortal là giao diện cấp thấp cho nạp/rút tài sản, còn các token bridge vận hành trên lớp nhắn tin xuyên miền. 2

Không phải sự cố đầu tiên của Cozy

Trước đó, Cozy đã mất khoảng 427.000 USD trên Optimism vào tháng 8/2025. 7

Vụ việc năm 2025 bắt nguồn từ mã rút tiền không kiểm tra danh tính của bên thực hiện quy đổi. 7 Hai vụ khai thác khác nhau về kỹ thuật: sự cố năm 2025 là lỗi cấp quyền khi rút/đổi tài sản, còn sự cố năm 2026 liên quan tới cơ chế oracle, điều kiện kích hoạt yêu cầu bồi thường và thiết kế chi trả. Tuy vậy, chúng cùng cho thấy việc vá một lỗi hợp đồng đơn lẻ không tự động loại bỏ rủi ro ở các lớp logic liên quan như quyết toán, oracle và quy đổi token. 67

Quy mô thiệt hại lớn so với triển khai Optimism

Vào thời điểm đó, Cozy được cho là có khoảng 1,3 triệu USD TVL trên toàn giao thức và khoảng 172.000 USD trên Optimism. Vì thế, vụ rút tiền tháng 9/2026 có vẻ đã lấy đi gần như toàn bộ giá trị ở triển khai Optimism. 7

Cozy vận hành các thị trường bảo vệ, nơi người dùng có thể mua bảo vệ trước sự cố ở các giao thức DeFi khác. Do đó, tính toàn vẹn của quy trình xác định sự kiện và chi trả bồi thường là phần cốt lõi của mô hình bảo mật, không phải chức năng phụ. 7

Bài học cho DeFi

• Rủi ro oracle cũng là rủi ro của ứng dụng. Cơ chế oracle lạc quan dựa trên thời hạn phản đối không đủ an toàn cho các khoản chi trả tự động có giá trị cao nếu đề xuất sai có thể đi qua mà không bị tranh chấp, trong khi giao thức tích hợp không có kiểm chứng độc lập, động lực phản đối phù hợp hoặc biện pháp bảo vệ chi trả. Đây là thất bại ở thiết kế của hệ thống kết hợp, không đơn thuần là bằng chứng rằng oracle tự quyết định “sự thật”. 6
• Tính kết hợp làm rộng bề mặt tấn công. Đường tấn công đã nối thị trường PToken, cơ chế xác định sự kiện dựa trên UMA, logic kích hoạt của Cozy, quy tắc quy đổi và lối thoát qua bridge. Mỗi thành phần có thể hợp lý khi đứng riêng lẻ, nhưng cách chúng kết hợp đã tạo ra một con đường có thể khai thác. 67
• TVL nhỏ không đồng nghĩa với biên an toàn. Thiệt hại bằng USD không lớn bằng nhiều vụ hack tiền mã hóa khác, nhưng lại tương đương gần như toàn bộ giá trị tại Optimism và xảy ra sau một tổn thất trước đó. Đây vẫn là thiệt hại đáng kể đối với các nhà cung cấp thanh khoản và niềm tin vào một giao thức bảo vệ. 7
• Các vụ khai thác vẫn diễn ra dồn dập. Trong cùng giai đoạn, Notional Finance được báo cáo mất khoảng 1,73 triệu USD do lỗ hổng liên quan đến tràn số nguyên; các sự cố khác gồm khoản mất khoảng 91.000 USD của Full Sail và vụ rút khoảng 320 triệu USD Bitcoin từ Liquid Network, vốn được mô tả là tranh chấp hoặc được tuyên bố là hành động “white hat”. 7
• Khả năng thu hồi chưa rõ ràng. Tài liệu hiện có không cho thấy Cozy đã lấy lại được tiền. Việc chuyển nhanh qua bridge, khả năng hoán đổi tiếp hoặc dùng công cụ che giấu dòng tiền, cùng nhu cầu phối hợp giữa giao thức, đơn vị vận hành bridge, sàn giao dịch, công ty phân tích blockchain và cơ quan thực thi pháp luật khiến việc lần vết thường dễ hơn nhiều so với đóng băng hoặc hoàn trả tài sản. 27

Điểm mấu chốt là các sản phẩm “bảo hiểm” hoặc bảo vệ trong DeFi phải bảo mật toàn bộ vòng đời yêu cầu chi trả: xác minh sự kiện thực tế, giám sát tranh chấp, ảnh chụp số dư người nắm giữ, cấp quyền quy đổi, cơ chế ngắt khẩn cấp và kế hoạch ứng phó đã được diễn tập cho tình huống tài sản nhanh chóng rời mạng qua bridge.