La società di sicurezza blockchain Blockaid ha segnalato un exploit ai danni di Cozy Finance su Optimism lunedì mattina presto. L’aggressore ha sottratto circa 170.000 $ e trasferito i fondi tramite bridge in uscita nel giro di 13 minuti.
Cozy Finance gestisce mercati di protezione che consentono agli utenti di acquistare coperture contro i malfunzionamenti della DeFi. Un precedente attacco su Optimism è costato al protocollo circa 427.000 $ nell’agosto 2025.
L’aggressore ha trasferito i fondi tramite bridge in uscita in 13 minuti
Secondo i dati dell’explorer di OP Mainnet, la transazione dell’exploit è stata registrata lunedì alle 05:43 UTC. Ha trasferito circa 163.326 USDC.e fuori dal protocollo, suddivisi in 63 trasferimenti di token.
Nel frattempo, la stessa transazione ha bruciato circa 1,6 milioni di Cozy PToken (CPT). L’aggressore ha poi autorizzato un token e trasferito i fondi tramite un bridge alle 05:56 UTC.
Il trasferimento in uscita è avvenuto prima che Blockaid pubblicasse il suo avviso. I registri dell’explorer non mostrano altri movimenti dal wallet da allora.
L’aggressore si era preparato con largo anticipo. Dai registri risulta che il contratto dell’attacco è stato attivato il 2 settembre, cinque giorni prima del prelievo. Il wallet ha ricevuto i primi fondi da un solver di Relay.
Blockaid ha inoltre indicato Cozy Set (CSET) come il contratto del token sfruttato. Il contratto è ancora non verificato e contiene tuttora circa 4.168 $ in USDC.e.
L’exploit ai danni di Cozy Finance ripete un fallimento del 2025
Non è la prima perdita del protocollo su Optimism. Secondo la società di sicurezza Verichains, nell’agosto 2025 un aggressore ha sottratto circa 427.000 $.
La falla si trovava nel codice di prelievo, che non verificava chi avesse completato un riscatto. Cozy Finance è ora al quinto posto tra i protocolli assicurativi su DefiLlama, con circa 1,3 milioni di dollari.
DefiLlama indicava circa 172.000 dollari sulla rete Optimism. L’aggressore sembra quindi aver sottratto quasi tutti i fondi presenti in quella deployment.
Raid simili continuano a colpire la DeFi. La scorsa settimana Notional Finance ha perso 1,73 milioni di dollari a causa di un bug di overflow degli interi. Pochi giorni prima, Full Sail ha interrotto le attività dopo che un aggressore aveva sottratto circa 91.000 dollari.
Lunedì si è verificato anche un caso molto più grave. Dalla rete Liquid sono usciti circa 320 milioni di dollari in Bitcoin e gli autori hanno dichiarato on-chain di agire con intenzioni da white hat.
Tuttavia, le prime stime delle perdite spesso cambiano. Inizialmente Blockaid aveva valutato a 9,3 milioni di dollari un exploit di Flow avvenuto ad agosto, prima che la rete stimasse i danni intorno ai 410.000 dollari.
Blockaid ha promesso ulteriori dettagli mentre traccia il denaro. La somma è contenuta, ma una seconda violazione sulla stessa chain solleva interrogativi più seri.
Fonte: BeInCrypto
