Cozy Finance 再遭 Optimism 漏洞攻擊 13 分鐘內損失約 17 萬美元

【重點】Cozy Finance 周一凌晨在 Optimism 再度遇襲，約 17 萬美元資金被抽走，攻擊者在首次抽乾後僅 13 分鐘便把資金經跨鏈橋轉出。是次涉及約 163,326 枚 USDC.e，合共 63 次代幣轉移。鏈上紀錄顯示攻擊合約於事發前 5 日（9 月 2 日）已部署。Cozy 在 Optimism 上原本約有 17.2 萬美元，推算大部分已被掃走。該協議 2025 年曾因 Optimism 事件損失 42.7 萬美元。 Cozy Finance 作為 DeFi 保險類協議，營運保障市場，讓用戶可就去中心化金融的各類故障購買保障。今次事件發生於周一早段，攻擊者先抽走約 17 萬美元，並在 13 分鐘後透過跨鏈橋把款項轉移離開。由於資金轉移速度極快，雖然金額不算特別龐大，仍令市場對其保安防線敲響警號。 安全公司 Blockaid 在資金已轉出後發出提示。區塊鏈瀏覽器資料顯示，資金離開後，攻擊者錢包未見再有進一步動作。 鏈上資料顯示，關鍵交易於 05:43 UTC 落地，從協議轉出約 163,326 枚 USDC.e，經 63 次代幣轉移完成抽走。同一筆交易中，約 160 萬枚 Cozy PToken（CPT）被銷毀；其後攻擊者對代幣作出授權，並於 05:56 UTC 把所得資金跨鏈轉出。 攻擊準備似乎早於事發前數日已展開。攻擊合約在 9 月 2 日部署，距離漏洞被利用相隔 5 天。紀錄亦顯示，相關錢包在行動前先由 Relay solver 取得第一筆資金，其後行動未見有任何中斷跡象。 Blockaid 指，事件核心可能與 Cozy Set（CSET）有關，該公司將其列為遭濫用的代幣合約。該合約目前仍未驗證，事後仍留有約 4,168 美元等值的 USDC.e。 若以 Cozy 在 Optimism 的資金規模衡量，損失更顯突出：協議在該網絡事前約持有 17.2 萬美元，意味攻擊者幾乎把可動用資金一掃而空。Cozy Finance 在保險類協議中排名第五，總鎖倉價值（TVL）約 130 萬美元，令今次損失相對其資本底盤更為敏感。 這並非 Cozy 在 Optimism 的首次保安事故。2025 年 8 月，協議曾因提領程式碼未能核實誰完成贖回而被利用，損失約 42.7 萬美元。同一網絡一年多內兩度遇襲，即使今次金額較小，仍令市場關注是否存在重複性弱點及防禦準備不足。 Blockaid 表示會在追蹤工作持續進行下公布更多細節，並提醒初步估算或會隨調查推進而調整。對 Cozy 而言，現實已相當清楚：其 Optimism 部署在約 13 個月內先後遭遇兩次獨立攻擊。