Cozy Finance sufre un segundo exploit en Optimism y pierde 170.000 dólares en 13 minutos

Cozy Finance volvió a ser atacado en Optimism a primera hora del lunes. El incidente se saldó con un drenaje de unos 170.000 dólares, y el atacante sacó los fondos mediante un puente apenas 13 minutos después del vaciado inicial. Según los datos on-chain, la transacción del exploit se ejecutó a las 05:43 UTC y extrajo aproximadamente 163.326 USDC.e del protocolo a través de 63 transferencias. En esa misma operación se quemaron cerca de 1,6 millones de Cozy PToken (CPT). Más tarde, a las 05:56 UTC, el atacante aprobó un token y puenteó los ingresos. Blockaid alertó del suceso cuando el dinero ya había salido. Los exploradores no muestran movimientos adicionales desde la cartera del atacante tras el puente. La preparación del ataque parece haberse iniciado con antelación: el contrato malicioso se desplegó el 2 de septiembre, cinco días antes de la brecha, y los registros indican que la cartera recibió sus primeros fondos de un "Relay solver" antes de que la operación se desarrollara sin señales de interrupción. El foco del incidente estaría en Cozy Set (CSET), señalado por Blockaid como el contrato de token utilizado indebidamente. Ese contrato sigue sin verificar y, tras el ataque, aún retenía alrededor de 4.168 dólares en USDC.e. El impacto resulta especialmente relevante si se compara con la liquidez disponible en el despliegue de Cozy en Optimism: antes del exploit, esa instancia custodiaba cerca de 172.000 dólares, lo que sugiere que se barrió prácticamente todo el saldo. Cozy Finance ocupa el quinto puesto entre los protocolos de seguros, con unos 1,3 millones de dólares de valor total bloqueado (TVL), por lo que la pérdida se produce sobre una base de capital relativamente contenida. No es el primer incidente en Optimism para Cozy. En agosto de 2025, el protocolo ya sufrió un ataque de unos 427.000 dólares, atribuido a un fallo en el código de retirada que no verificaba quién completaba un reembolso. Este segundo episodio en la misma red vuelve a poner el foco en posibles debilidades recurrentes y en la preparación defensiva, aunque el daño económico sea menor. Blockaid indicó que ofrecerá más detalles conforme avance el rastreo, y subrayó que las estimaciones iniciales pueden variar durante la investigación. Para Cozy, el balance inmediato es claro: dos ataques distintos han golpeado su operativa en Optimism en un plazo de alrededor de trece meses.