Cozy Finance вдруге зламали в мережі Optimism: за 13 хвилин вивели близько $170 тис.

Коротко: Cozy Finance зазнала другого зламу в мережі Optimism — з протоколу вивели близько $170 000, а вже за 13 хвилин після первинного списання кошти були переправлені через міст. Експлойт провів приблизно 163 326 USDC.e через 63 перекази. Дані також свідчать, що контракт для атаки розгорнули за п'ять днів до інциденту. Перед зломом деплой Cozy в Optimism утримував близько $172 000, тож, імовірно, було "виметено" майже весь доступний обсяг. Попередня атака у 2025 році вже коштувала протоколу $427 000. У понеділок рано-вранці Cozy Finance знову зламали в мережі Optimism: зловмисник вивів близько $170 тис. і вже о 05:56 UTC перекинув кошти через міст — через 13 хвилин після першої транзакції. Швидкість операції перетворила відносно невелику за мірками DeFi втрату на жорсткіший сигнал щодо кіберстійкості для DeFi-страховика, який керує ринками захисту і дає змогу користувачам купувати покриття ризиків збоїв у децентралізованих фінансах. Про інцидент повідомила Blockaid, але на момент фіксації кошти вже були виведені за межі мережі. Дані блокчейн-експлорера також показали, що після цього з гаманця зловмисника подальших переміщень не відбувалося. Експлойт-транзакція пройшла о 05:43 UTC: із протоколу вивели приблизно 163 326 USDC.e, розбивши рух на 63 токен-перекази. У тій самій транзакції було спалено близько 1,6 млн Cozy PToken (CPT). Далі атакувальник надав дозвіл на токен і переправив виручене через міст о 05:56 UTC. Підготовка, схоже, тривала не хвилини, а дні: контракт для атаки розгорнули 2 вересня — за п'ять днів до зламу. Записи також вказують, що гаманець отримав перше фінансування від Relay solver ще до початку операції, після чого атака пройшла без помітних збоїв. Фокус атаки, ймовірно, пов'язаний із Cozy Set (CSET) — Blockaid назвала саме цей токен-контракт тим, що використали в зловживанні. Контракт лишається неперевіреним, а після інциденту на ньому все ще було близько $4 168 у USDC.e. Масштаб втрат виглядає відчутнішим на тлі залишків протоколу в Optimism: перед експлойтом там було близько $172 000, що натякає на майже повне "збирання" коштів. Cozy Finance посідає п'яте місце серед страхових протоколів і має близько $1,3 млн TVL, тож новий інцидент стався на відносно невеликій капітальній базі саме в межах короткого вікна атаки. Для Cozy це вже не перша проблема безпеки в Optimism. У серпні 2025 року інший зловмисник викрав близько $427 000, скориставшись уразливістю в коді виведення, який не перевіряв, хто саме завершив погашення. Другий злом у тій самій мережі загострює питання про повторювані слабкі місця та готовність оборони, навіть якщо теперішні втрати менші. Blockaid повідомила, що надасть додаткові деталі в міру продовження трасування, а первинні оцінки збитків можуть змінюватися під час розслідування. Для Cozy головне вже очевидне: операції протоколу в Optimism зазнали двох окремих атак приблизно за тринадцять напружених місяців.