ブロックチェーンセキュリティ企業Blockaidが月曜日早朝、Optimism上のCozy Financeの脆弱性を指摘した。攻撃者はおよそ17万ドルを引き出し、13分以内に資金を別ネットワークに移した。
Cozy Financeは、ユーザーがDeFiの障害に備える保険市場を運営する。2025年8月、Optimismで発生した攻撃によりプロトコルは約42万7000ドルの損失を被った。
攻撃者、13分で資金をブリッジ
OP Mainnetのエクスプローラーによれば、不正取引は月曜日の協定世界時5時43分に記録。63回のトークン送信を通じて、約16万3326USDC.eがプロトコルから引き出された。
同じ取引で、約160万枚のCozy PToken（CPT）もバーンされた。攻撃者はトークン承認後、5時56分にブリッジを通して資金を移動させた。
この出金はBlockaidがアラートを出す前に行われた。エクスプローラーの記録では、その後ウォレットからの動きは確認されていない。
攻撃者は事前準備も周到だった。記録によると、攻撃コントラクトは資金流出の5日前、9月2日に起動。ウォレットは最初の資金をRelay solverから受け取っていた。
Blockaidは悪用されたトークンコントラクトとしてCozy Set（CSET）も指摘。このコントラクトは未検証で、今も約4168ドル相当のUSDC.eを保有している。
Cozy Finance、2025年の失敗を繰り返す
Optimismで本プロトコルが被害を受けるのは今回が初めてではない。セキュリティ企業Verichainsによれば、2025年8月にも攻撃者が約42万7000ドルを盗んだ。
不具合は引出しコードにあり、誰が償還を完了したかの確認がなかった。Cozy Financeは現在DefiLlamaの保険プロトコルで5位、約130万ドルを管理している。
DefiLlamaによれば、Optimism側での残高は約17万2000ドル。攻撃者はほぼ全額を引き出したとみられる。
DeFi全体でも同様の被害が続く。Notional Financeは先週、整数オーバーフローのバグで173万ドルを喪失した。数日前には、Full Sailが攻撃によって約9万1000ドルを奪われ、事業を終了した。
月曜日にはさらに大規模な事件も発生。Liquid Networkからおよそ3億2000万ドル相当のビットコインが流出し、関係者はオンチェーンで「ホワイトハットの意図」と主張した。
ただし、初期の被害額は変動しやすい。Blockaidは8月のFlowの脆弱性で被害額を930万ドルと推計したが、その後ネットワーク側が約41万ドルと訂正した。
Blockaidは資金追跡の詳細を今後も公表するとした。金額は小さいが、同じチェーンで2度目の流出という事実が難問を突き付ける。
