Cozy Finance Lại Bị Tấn Công, Mất 170.000 USD Trên Optimism

Công ty bảo mật blockchain Blockaid đã phát hiện một cuộc tấn công nhắm vào Cozy Finance trên mạng Optimism vào sáng sớm thứ Hai. Kẻ tấn công đã rút được khoảng 170.000 USD và chuyển số tiền qua cầu nối trong vòng 13 phút.

Cozy Finance vận hành các thị trường bảo vệ cho phép người dùng mua bảo hiểm chống lại các thất bại trong tài chính phi tập trung. Một cuộc tấn công trước đó trên Optimism vào tháng 8 năm 2025 đã khiến giao thức mất khoảng 427.000 USD.

Tiền Được Chuyển Qua Cầu Nối Trong 13 Phút

Giao dịch tấn công xảy ra lúc 05:43 UTC thứ Hai, theo dữ liệu từ OP Mainnet explorer. Giao dịch liên quan đến việc di chuyển khoảng 163.326 USDC.e ra khỏi giao thức thông qua 63 lần chuyển token.

Đồng thời, giao dịch đã đốt khoảng 1,6 triệu Cozy PToken (CPT). Sau đó, kẻ tấn công đã phê duyệt một token và gửi tiền qua cầu nối lúc 05:56 UTC.

Số tiền đã được chuyển trước khi Blockaid công bố cảnh báo. Dữ liệu explorer cho thấy không có hoạt động nào khác từ ví kể từ đó.

Kẻ tấn công dường như đã chuẩn bị trước. Hồ sơ cho thấy hợp đồng tấn công được triển khai vào ngày 2 tháng 9, năm ngày trước khi số tiền bị lấy. Ví nhận được nguồn tài trợ ban đầu từ một Relay solver.

Blockaid xác định hợp đồng token bị lạm dụng là Cozy Set (CSET). Hợp đồng đó vẫn chưa được xác minh và vẫn nắm giữ khoảng 4.168 USDC.e.

🚨Cảnh báo cộng đồng:
Blockaid phát hiện một vụ khai thác đang diễn ra trên @cozyfinance trên Optimism.
Đã rút được 170k USD.

Thêm chi tiết trong 🧵

— Blockaid (@blockaid_) 7 tháng 9, 2026

Vụ Khai Thác Cozy Finance Lặp Lại Thất Bại Năm 2025

Đây không phải là lần đầu tiên giao thức chịu tổn thất trên Optimism. Một kẻ tấn công đã đánh cắp khoảng 427.000 USD vào tháng 8 năm 2025, theo công ty bảo mật Verichains.

Lỗ hổng nằm ở mã rút tiền, mã này không xác minh người hoàn tất việc chuộc lại. Cozy Finance hiện đứng thứ năm trong số các giao thức bảo hiểm trên DefiLlama, với khoảng 1,3 triệu USD tài sản.

DefiLlama cho thấy khoảng 172.000 USD ở phía Optimism. Điều đó có nghĩa là kẻ tấn công dường như đã lấy gần như toàn bộ số tiền triển khai ở đó.

Các cuộc tấn công tương tự tiếp tục xảy ra trên khắp DeFi. Notional Finance mất 1,73 triệu USD tuần trước do lỗi tràn số nguyên. Vài ngày trước đó, Full Sail đã ngừng hoạt động sau khi kẻ tấn công đánh cắp khoảng 91.000 USD.

Thứ Hai cũng chứng kiến một vụ việc lớn hơn nhiều. Khoảng 320 triệu USD Bitcoin đã rời khỏi Liquid Network, với các tác nhân tuyên bố ý định white hat trên chuỗi.

Các ước tính tổn thất ban đầu thường thay đổi. Blockaid ban đầu định giá vụ khai thác Flow tháng 8 là 9,3 triệu USD trước khi mạng lưới đưa ra thiệt hại khoảng 410.000 USD.

Blockaid cho biết sẽ cung cấp thêm chi tiết khi theo dõi số tiền. Số tiền tương đối nhỏ, nhưng một vụ vi phạm thứ hai trên cùng một chuỗi đặt ra những câu hỏi nghiêm trọng hơn.