Cozy Finance вновь взломали в сети Optimism: за 13 минут выведено около $170 тыс.

Коротко: Cozy Finance во второй раз стала жертвой эксплойта в сети Optimism и потеряла порядка $170 тыс. Злоумышленник вывел средства через мост всего через 13 минут после первичного списания. По данным ончейн-аналитики, из протокола было перемещено около 163 326 USDC.e через 63 перевода, а контракт атаки развернули за пять дней до инцидента. До взлома на развертывании Cozy в Optimism находилось примерно $172 тыс., что указывает на почти полное "выметание" доступной ликвидности. В 2025 году аналогичная атака уже обошлась протоколу в $427 тыс. Cozy Finance, DeFi-протокол страхования, управляющий рынками защиты (пользователи покупают покрытие на случай сбоев в децентрализованных сервисах), утром в понедельник подвергся повторной атаке в Optimism. По оценкам, злоумышленник вывел около $170 тыс., после чего почти сразу перевел добычу через мост — спустя 13 минут. Инцидент обнаружила Blockaid уже после того, как средства покинули сеть. Данные блокчейн-обозревателей указывают, что затем из кошелька атакующего дальнейших перемещений не наблюдалось. Транзакция эксплойта прошла в 05:43 UTC. Из протокола было выведено порядка 163 326 USDC.e, распределенных по 63 токен-трансферам. В рамках той же транзакции было сожжено около 1,6 млн Cozy PToken (CPT). Затем атакующий одобрил токен и в 05:56 UTC перевел средства через мост. Подготовка, судя по следам в сети, началась заранее. Контракт атаки был развернут 2 сентября — за пять дней до взлома. Также отмечается, что кошелек злоумышленника получил первое финансирование от Relay solver перед проведением операции, после чего атака прошла без видимых сбоев. В центре эпизода, по версии Blockaid, оказался Cozy Set (CSET) — именно этот токен-контракт был использован в злоупотреблении. Контракт остается непроверенным, а после атаки на нем все еще находилось около $4 168 в USDC.e. Потери выглядят особенно заметно на фоне масштаба конкретного развертывания Cozy в Optimism: до взлома там было около $172 тыс., что позволяет предположить вывод почти всей суммы. В целом Cozy Finance занимает пятое место среди страховых протоколов с приблизительно $1,3 млн TVL, поэтому ущерб пришелся на относительно небольшую капитальную базу в момент самой атаки. Это уже не первый инцидент Cozy в Optimism. В августе 2025 года другой злоумышленник похитил около $427 тыс., воспользовавшись уязвимостью в коде вывода средств: логика погашения не проверяла, кто именно завершал редемпшен. Повторный взлом в той же сети усиливает вопросы к устойчивости защиты и готовности к атакам, даже если текущие потери меньше. Blockaid заявила, что продолжит трассировку и опубликует дополнительные детали; оценка ущерба на ранней стадии может меняться по мере расследования. Для Cozy ключевой вывод уже очевиден: за примерно 13 месяцев операции протокола в Optimism подверглись двум отдельным атакам.