Die Blockchain-Sicherheitsfirma Blockaid meldete am frühen Montag einen Exploit bei Cozy Finance auf Optimism. Der Angreifer erbeutete rund 170.000 US-Dollar und transferierte die Gelder innerhalb von 13 Minuten über eine Bridge aus dem Netzwerk.
Cozy Finance betreibt Absicherungsmärkte, auf denen Nutzer Schutz vor DeFi-Ausfällen kaufen können. Ein früherer Angriff auf Optimism kostete das Protokoll im August 2025 rund 427.000 US-Dollar.
Angreifer transferierte das Geld innerhalb von 13 Minuten aus dem Netzwerk
Laut Daten des OP-Mainnet-Explorers wurde die Exploit-Transaktion am Montag um 05:43 UTC ausgeführt. Dabei wurden rund 163.326 USDC.e in 63 Token-Transfers aus dem Protokoll abgezogen.
Bei derselben Transaktion wurden außerdem rund 1,6 Millionen Cozy PToken (CPT) verbrannt. Anschließend erteilte der Angreifer eine Token-Freigabe und leitete die Gelder um 05:56 UTC über eine Bridge weiter.
Dieser Abzug erfolgte, bevor Blockaid seine Warnung veröffentlichte. Den Explorer-Daten zufolge gab es seitdem keine weiteren Bewegungen von der Wallet.
Der Angreifer hatte sich zudem lange im Voraus vorbereitet. Den Aufzeichnungen zufolge wurde der Angriffs-Contract am 2. September aktiviert, fünf Tage vor dem Abzug. Die Wallet erhielt ihre ersten Gelder von einem Relay-Solver.
Blockaid nannte außerdem Cozy Set (CSET) als den missbrauchten Token-Contract. Dieser Contract ist weiterhin nicht verifiziert und hält nach wie vor rund 4.168 USDC.e.
Cozy-Finance-Exploit wiederholt einen Vorfall aus dem Jahr 2025
Es ist nicht der erste Verlust des Protokolls auf Optimism. Ein Angreifer erbeutete im August 2025 rund 427.000 US-Dollar, wie die Sicherheitsfirma Verichains herausfand.
Die Schwachstelle steckte im Auszahlungscode, der nie überprüfte, wer eine Einlösung abgeschlossen hatte. Cozy Finance liegt auf DefiLlama nun auf Platz fünf unter den Versicherungsprotokollen und verwaltet rund 1,3 Millionen US-Dollar.
DefiLlama wies auf der Optimism-Seite rund 172.000 US-Dollar aus. Daher scheint der Angreifer dort nahezu den gesamten Bestand abgezogen zu haben.
Ähnliche Angriffe häufen sich in der DeFi-Branche. Notional Finance verlor letzte Woche durch einen Integer-Overflow-Fehler 1,73 Millionen US-Dollar. Wenige Tage zuvor stellte Full Sail den Betrieb ein, nachdem ein Angreifer rund 91.000 US-Dollar erbeutet hatte.
Am Montag gab es auch einen weitaus größeren Fall. Rund 320 Millionen US-Dollar in Bitcoin verließen das Liquid Network, und die Täter gaben On-Chain an, in guter Absicht zu handeln.
Frühe Schadensschätzungen ändern sich jedoch oft. Blockaid bezifferte den Schaden eines Flow-Exploits im August zunächst auf 9,3 Millionen US-Dollar, bevor das Netzwerk ihn auf rund 410.000 US-Dollar korrigierte.
Blockaid kündigte weitere Details an, während das Unternehmen den Geldflüssen nachgeht. Die Summe ist gering, doch ein zweiter Einbruch auf derselben Chain wirft schwierigere Fragen auf.
Quelle: BeInCrypto
