Blockchain-beveiligingsbedrijf Blockaid signaleerde maandagochtend vroeg een Cozy Finance-exploit op Optimism. De aanvaller haalde ongeveer $170.000 weg en stuurde het geld binnen 13 minuten via een bridge weg.
Cozy Finance biedt beschermingsmarkten waar gebruikers zich kunnen indekken tegen DeFi-falingen. Bij een eerdere aanval op Optimism in augustus 2025 verloor het protocol zo’n $427.000.
Aanvaller bridgede het geld weg in 13 minuten
De exploit werd op maandag om 05:43 uur UTC uitgevoerd, volgens gegevens van de OP Mainnet-explorer. Er werd ongeveer 163.326 USDC.e uit het protocol gehaald via 63 tokentransfers.
In dezelfde transactie werden ook ongeveer 1,6 miljoen Cozy PToken (CPT) vernietigd. Daarna keurde de aanvaller een token goed en stuurde de fondsen om 05:56 uur UTC via een bridge weg.
Deze exit vond plaats voordat Blockaid zijn waarschuwing publiceerde. Sindsdien is er volgens de explorer geen verdere beweging meer geweest vanaf deze wallet.
De aanvaller had zich ook goed voorbereid. Uit de gegevens blijkt dat het aanvalssmart contract al op 2 september live ging, vijf dagen voor de diefstal. De wallet ontving zijn eerste geld van een Relay solver.
Blockaid noemde ook Cozy Set (CSET) als het misbruikte tokencontract. Dit contract is nog altijd niet geverifieerd en bevat nog rond de $4.168 aan USDC.e.
Cozy Finance-exploit herhaalt een fout uit 2025
Dit is niet het eerste verlies van het protocol op Optimism. Volgens beveiligingsbedrijf Verichains nam een aanvaller in augustus 2025 ongeveer $427.000 mee.
De fout zat in de opnamecode, die niet controleerde wie een opname uitvoerde. Cozy Finance staat nu op plek vijf van verzekeringsprotocollen op DefiLlama, met een totaal van ongeveer $1,3 miljoen.
DefiLlama toonde ongeveer $172.000 op Optimism. Daardoor lijkt de aanvaller vrijwel de hele daar aanwezige inzet te hebben meegenomen.
Vergelijkbare aanvallen blijven voorkomen in DeFi. Notional Finance verloor vorige week $1,73 miljoen door een integer-overflow-bug. Een paar dagen eerder sloot Full Sail de deuren nadat daar ongeveer $91.000 werd gestolen.
Maandag was er ook een veel groter geval. Ongeveer $320 miljoen aan Bitcoin verliet het Liquid Network en de betrokkenen claimden white hat-intenties op-chain.
Toch veranderen eerste schattingen van verliezen vaak. Blockaid schatte de Flow-exploit van augustus eerst op $9,3 miljoen, terwijl het netwerk zelf de schade bijstelde naar ongeveer $410.000.
Blockaid beloofde later met meer details te komen over de geldstroom. Het totale bedrag is klein, maar een tweede lek op dezelfde chain zorgt voor meer serieuze vragen.
