Cozy Finance bị tấn công lần 2, mất 170,000 USD khỏi nền tảng bảo hiểm DeFi

Công ty bảo mật blockchain Blockaid đã phát hiện ra việc Cozy Finance trên Optimism bị tấn công vào sáng thứ Hai. Hacker đã rút khoảng 170,000 USD khỏi hệ thống và đã chuyển tiền qua bridge chỉ trong 13 phút.

Cozy Finance cung cấp các thị trường bảo vệ, cho phép người dùng mua bảo hiểm trước rủi ro thất bại của các dự án DeFi. Trước đó, vào tháng 08/2025, một cuộc tấn công trên Optimism đã khiến giao thức này mất khoảng 427,000 USD.

Hacker đã chuyển tiền qua bridge chỉ trong 13 phút

Theo dữ liệu từ OP Mainnet explorer, giao dịch khai thác diễn ra lúc 05:43 UTC vào sáng thứ Hai. Trong giao dịch này, khoảng 163,326 USDC.e đã bị rút khỏi giao thức thông qua 63 lượt chuyển token.

Bên cạnh đó, hacker cũng đã đốt khoảng 1.6 triệu Cozy PToken (CPT) qua cùng một giao dịch. Tiếp theo, kẻ tấn công phê duyệt một token và chuyển tiền thông qua bridge lúc 05:56 UTC.

Lệnh chuyển này diễn ra trước cả khi Blockaid phát thông báo cảnh báo. Dữ liệu trên explorer cho thấy ví của hacker chưa có thêm hoạt động nào sau đó.

Hacker cũng chuẩn bị kỹ lưỡng trước khi tấn công. Hợp đồng tấn công đã được triển khai từ ngày 02/09, tức là trước cuộc tấn công 5 ngày. Số tiền đầu tiên được chuyển về ví từ một bên giải quyết Relay.

Blockaid cho biết Cozy Set (CSET) là hợp đồng token bị khai thác trong vụ này. Hợp đồng này hiện vẫn chưa được xác thực và còn nắm giữ khoảng 4,168 USD USDC.e.

🚨Community alert:Blockaid detected an ongoing exploit on @cozyfinance on Optimism.170k$ drained so far.More details in 🧵

— Blockaid (@blockaid_) September 7, 2026

Cozy Finance lại gặp sự cố từng diễn ra năm 2025

Đây không phải là lần đầu giao thức này bị mất tiền trên Optimism. Theo công ty bảo mật Verichains, một hacker đã lấy đi khoảng 427,000 USD vào tháng 08/2025.

Lỗ hổng nằm ở phần code rút tiền, vốn không kiểm tra đúng người thực hiện việc rút. Hiện tại, Cozy Finance nằm ở vị trí thứ 5 trong các giao thức bảo hiểm trên DefiLlama, đang quản lý khoảng 1.3 triệu USD.

DefiLlama ghi nhận Cozy Finance có khoảng 172,000 USD ở phía Optimism, nghĩa là hacker gần như đã vét sạch số tiền được triển khai tại đây.

Các vụ tấn công tương tự vẫn đang liên tục xuất hiện trên DeFi. Tuần trước, Notional Finance đã mất 1.73 triệu USD vì một lỗi tràn số nguyên. Vài ngày trước đó, Full Sail đã phải dừng hoạt động sau khi bị một hacker lấy đi khoảng 91,000 USD.

Thứ Hai này cũng chứng kiến một vụ lớn hơn nhiều: khoảng 320 triệu USD Bitcoin đã rời khỏi Liquid Network, và phía thực hiện cho biết mục đích bảo vệ dự án qua on-chain.

Tuy nhiên, con số bị mất thường sẽ thay đổi khi xác minh lại. Blockaid ban đầu đánh giá cuộc tấn công trên Flow vào tháng 08 vừa rồi thất thoát 9.3 triệu USD, nhưng phía mạng lưới sau đó ước tính con số chỉ còn khoảng 410,000 USD.

Blockaid hứa sẽ cập nhật chi tiết hơn khi quá trình truy vết dòng tiền kết thúc. Dù vụ hack lần này không lớn, nhưng việc Cozy Finance bị tấn công lần thứ hai trên cùng một blockchain sẽ đặt ra nhiều câu hỏi nghiêm trọng hơn.