Cozy Finance、Optimismで2度目の攻撃　13分で約17万ドル流出

DeFi向け保険プロトコルのCozy Financeが、Optimism上で2度目となる攻撃を受け、約17万ドル相当を失った。資金は流出直後から素早く処理され、最初のドレインからわずか13分後にブリッジを経由して外部へ移された。 ブロックチェーン記録によると、攻撃トランザクションはUTC 05:43に実行され、約163,326 USDC.eが63回のトークン転送でプロトコルから移動した。同一トランザクション内で約160万枚のCozy PToken（CPT）がバーンされ、その後、攻撃者はトークンの承認手続きを行い、UTC 05:56にブリッジで資金を移送した。 検知はBlockaidが行ったが、警告が出た時点で資金はすでに流出済みだった。エクスプローラーデータでは、その後、攻撃者ウォレットからの追加の動きは確認されていない。 準備は直前ではなく数日前から進められていた可能性が高い。攻撃に使われたコントラクトは9月2日にデプロイされており、侵害の5日前にあたる。また、当該ウォレットは実行前にRelay solverから初回資金を受け取っていた記録がある。 今回の中心にあるのはCozy Set（CSET）とみられ、Blockaidは悪用されたトークンコントラクトとしてCSETを指摘した。このコントラクトは未検証のままで、攻撃後も約4,168ドル相当のUSDC.eを保持しているという。 被害規模は、Optimism上のCozyの運用資金が攻撃前に約172,000ドルだった点と照らすと重い。利用可能な残高の大半が持ち去られた可能性がある。Cozy Financeは保険系プロトコルでTVL約130万ドルとされ、同分野で5位に位置する。 Optimism上でのセキュリティ事故は今回が初めてではない。2025年8月には、償還の実行者確認が不十分な出金コードの脆弱性を突かれ、約427,000ドルが流出していた。同一ネットワークでの2度目の侵害は、被害額が小さいにもかかわらず、再発する弱点や防御体制の成熟度に厳しい問いを投げかける。 Blockaidは追跡を続け、詳細を追加で共有するとしている。調査の進展により初期推定が変動する可能性はあるものの、Cozyにとっては、約13カ月の間にOptimism運用が2回攻撃を受けたという事実が重くのしかかっている。