La società di sicurezza blockchain Blockaid ha segnalato un exploit ai danni di Cozy Finance su Optimism nelle prime ore di lunedì. L’attaccante ha sottratto circa 170.000 dollari e ha trasferito i fondi tramite bridge in soli 13 minuti.
Cozy Finance gestisce mercati di protezione che consentono agli utenti di acquistare copertura contro i fallimenti DeFi. Un precedente attacco su Optimism è costato al protocollo circa 427.000 dollari ad agosto 2025.
L’attaccante ha effettuato il bridge dei fondi in 13 minuti
Secondo i dati di OP Mainnet explorer, la transazione dell’exploit si è verificata alle 05:43 UTC di lunedì. Sono stati sottratti circa 163.326 USDC.e dal protocollo tramite 63 trasferimenti di token.
Nello stesso tempo, la transazione ha bruciato circa 1,6 milioni di Cozy PToken (CPT). L’attaccante ha poi approvato un token e inviato i fondi attraverso un bridge alle 05:56 UTC.
Questa uscita si è verificata prima che Blockaid pubblicasse il suo avviso. I dati dell’explorer mostrano che dal wallet non ci sono stati ulteriori movimenti.
L’attaccante si era anche preparato con largo anticipo. I record mostrano che lo smart contract dell’attacco è stato attivato il 2 settembre, cinque giorni prima del furto. Il wallet ha ricevuto i primi fondi da un Relay solver.
Blockaid ha anche indicato Cozy Set (CSET) come il contratto di token sfruttato nell’attacco. Tale contratto risulta ancora non verificato e detiene attualmente circa 4.168 dollari in USDC.e.
L’exploit a Cozy Finance ripete un precedente fallimento nel 2025
Non è la prima perdita subita dal protocollo su Optimism. Un attaccante aveva già sottratto circa 427.000 dollari nell’agosto 2025, come spiegato in dettaglio dalla società di sicurezza Verichains.
Il problema risiedeva nel codice di prelievo, che non controllava mai chi effettuava il riscatto. Cozy Finance ora si piazza al quinto posto tra i protocolli assicurativi su DefiLlama, con circa 1,3 milioni di dollari in gestione.
DefiLlama riportava circa 172.000 dollari sul lato di Optimism. Pertanto, sembra che l’attaccante abbia quasi azzerato l’intera disponibilità su questa chain.
Attacchi simili continuano a colpire la DeFi. Notional Finance ha perso 1,73 milioni di dollari la scorsa settimana a causa di un bug di integer overflow. Pochi giorni prima, Full Sail ha chiuso le operazioni dopo che un attaccante aveva sottratto circa 91.000 dollari.
Lunedì si è registrato anche un caso di dimensioni molto maggiori. Circa 320 milioni di dollari in Bitcoin hanno lasciato la Liquid Network e gli autori hanno dichiarato on-chain intenzioni white hat.
Tuttavia, le cifre delle perdite iniziali spesso cambiano. Blockaid inizialmente aveva stimato un exploit su Flow ad agosto a 9,3 milioni di dollari, prima che la rete riducesse il danno a circa 410.000 dollari.
Blockaid ha promesso di spiegare in dettaglio la vicenda man mano che rintraccia i fondi. L’importo è limitato, ma un secondo breach sulla stessa chain solleva interrogativi ancora più gravi.
