Cozy Finance再遭攻擊：假UMA裁決如何掏空Optimism部署近乎全部資金

Cozy Finance喺2026年9月7日於Optimism遭遇約一年內第二次漏洞攻擊。攻擊者利用UMA Optimistic Oracle中未被提出爭議嘅虛假裁決，令Cozy嘅Aave v2同Curve保障市場錯誤觸發賠付，抽走約16萬至17萬美元資產；按當時報道，幾乎等於Cozy在Optimism部署嘅全部價值。67

攻擊點樣發生？

攻擊嘅關鍵並唔係直接攻破Aave或Curve，而係瞄準Cozy「保障市場」點樣判定事件發生，以及之後點樣派錢。

攻擊者先取得Aave v2及Curve保障市場嘅PToken，之後向UMA Optimistic Oracle提交「YES」答案，而且冇人喺爭議期內提出反對。Cozy嘅觸發流程冇再獨立核實受保障嘅Aave／Curve事故係咪真係發生；同時，PToken賠付資格亦冇綁定提案前嘅持有人快照。當市場狀態轉為已觸發後，攻擊者就燒毀PToken並兌換USDC。6

有報道按安全事件損失估算為約16萬美元；亦有按鏈上交易計算，指涉事資產約為163,326枚USDC.e、約17萬美元。兩個數字反映嘅都係同一宗事件，只係估值口徑略有不同。67

13分鐘內完成撤資

鏈上資料顯示，核心攻擊交易發生喺9月7日05:43 UTC，涉及63次代幣轉移，並燒毀約160萬枚Cozy PToken（CPT）。7

攻擊合約早喺9月2日、即事發前5日已部署；攻擊者錢包最初亦收到由Relay solver提供嘅資金。7 到05:56 UTC，即抽走資金後13分鐘，攻擊者已批准代幣操作並經跨鏈橋將款項轉走，時間早過Blockaid公開發出警報。當時報道稱，相關錢包其後未見進一步轉移。7

呢種速度正正係DeFi追款最棘手嘅地方：鏈上交易雖然公開可查，但資產一旦迅速跨鏈，協議嘅暫停措施未必趕得切。追蹤資金流向唔等於可以凍結，或者成功取回資金。27

同2025年8月事故有咩分別？

Cozy喺2025年8月已經喺Optimism損失約42.7萬美元。7 當時問題出喺提款程式碼：系統冇妥善驗證完成贖回操作嘅一方身份。7

兩次攻擊技術上唔一樣：

• 2025年事故：屬提款授權／身份驗證缺陷；
• 2026年事故：屬預言機裁決、索償觸發及賠付設計問題。67

不過，兩者都帶出同一個警號：修補某一份智能合約嘅漏洞，唔代表整個產品已經安全。結算流程、預言機、贖回機制同跨鏈出口，都可以成為完整攻擊鏈嘅一環。

對Cozy而言，損失規模其實好大

雖然約17萬美元相對大型加密貨幣黑客案未算天文數字，但對Cozy而言並非「小數目」。報道指，Cozy當時全協議鎖倉總值（TVL）約130萬美元，而Optimism上約有17.2萬美元；今次被抽走嘅金額，因而看似已掃走該部署絕大部分資金。7

Cozy提供嘅係針對其他DeFi協議故障嘅保障市場。換句話講，事件判定同索償派付本身就係其產品核心；如果呢條流程可以被偽造裁決觸發，保障功能反而會變成提款通道。

呢宗案對DeFi有咩啟示？

預言機風險，其實係應用整合風險

Optimistic Oracle依賴「有人提出答案、其他人可在期限內挑戰」嘅設計。呢種設計未必代表預言機本身會自動判錯；但如果高額自動賠付容許虛假提案無人挑戰就生效，而整合協議又冇獨立驗證、足夠嘅挑戰誘因或賠付防護，整個系統就會出事。6

可組合性同時放大攻擊面

今次攻擊串連咗保障代幣市場、UMA事件裁決、Cozy觸發邏輯、贖回規則，同埋跨鏈轉移。每個組件單獨睇未必有問題，但組合起來就形成可被套現嘅路徑。67

TVL細，唔等於風險細

一個協議資金規模較細，唔會自然降低被攻擊嘅誘因。尤其今次幾乎清空Optimism部署，而且Cozy一年內已第二次受創，對提供流動性嘅用戶及保障產品嘅信心都會構成實質打擊。7

同一星期，DeFi攻擊仍然密集

報道指，Notional Finance喺9月4日因與整數溢位相關嘅漏洞損失約173萬美元；同期間另有約9.1萬美元嘅Full Sail損失，以及Liquid Network上涉及約3.2億美元比特幣、被稱為白帽行動但存在爭議嘅資產抽離事件。7

資金可否追回？暫時未明

現有資料未見Cozy已成功追回資金嘅證據。跨鏈轉移快、後續可再兌換或使用私隱工具，加上要協調協議方、橋接營運者、交易所、鏈上分析公司及執法部門，都令「睇到資金去咗邊」同「實際攔截及歸還資金」之間存在好大距離。27

最重要嘅教訓係，DeFi保障或「鏈上保險」產品要保護嘅，唔只係單一智能合約，而係整個索償生命周期：真實事件核實、爭議監察、持倉快照、贖回授權、緊急暫停機制，以及面對快速跨鏈撤資時已演練過嘅應變方案。