Cozy Finance volta a ser explorada na Optimism e perde US$ 170 mil em 13 minutos

Resumo: A Cozy Finance sofreu um segundo exploit na rede Optimism e perdeu cerca de US$ 170 mil. O invasor drenou os fundos e os transferiu para fora via bridge apenas 13 minutos após o esvaziamento inicial. O ataque movimentou aproximadamente 163.326 USDC.e em 63 transferências. Registros indicam que o contrato usado no ataque foi implantado cinco dias antes da violação. Antes do incidente, a implantação da Cozy na Optimism mantinha em torno de US$ 172 mil, o que sugere que quase todo o saldo foi varrido. Em 2025, um ataque anterior já havia causado perdas de US$ 427 mil. A Cozy Finance, protocolo de "seguro" DeFi que opera mercados de proteção para compra de cobertura contra falhas em diferentes aplicações de finanças descentralizadas, foi alvo de um novo ataque na Optimism na madrugada de segunda-feira. O invasor drenou aproximadamente US$ 170 mil e, na sequência, fez a saída dos recursos por uma bridge 13 minutos depois, ampliando o alerta de segurança apesar do montante relativamente contido. A Blockaid sinalizou o episódio quando os fundos já haviam sido enviados para fora. Dados de exploradores de blockchain não mostraram novas movimentações a partir da carteira do atacante após a saída inicial. A transação do exploit ocorreu às 05:43 UTC e retirou cerca de 163.326 USDC.e do protocolo, passando por 63 transferências de token. Na mesma operação, aproximadamente 1,6 milhão de Cozy PToken (CPT) foram queimados. Em seguida, o invasor autorizou um token e fez a ponte dos valores às 05:56 UTC. Indícios apontam preparação com antecedência: o contrato do ataque foi implantado em 2 de setembro, cinco dias antes do exploit. Os registros também mostram que a carteira recebeu os primeiros fundos de um Relay solver antes do início da operação, sem sinais de interrupção prévia. O foco do incidente parece estar no Cozy Set (CSET), apontado pela Blockaid como o contrato de token explorado. Esse contrato permanece não verificado e ainda mantinha cerca de US$ 4.168 em USDC.e após o ataque. A dimensão do prejuízo ganha peso quando comparada ao caixa disponível na Optimism: a implantação da Cozy na rede tinha por volta de US$ 172 mil antes do exploit, indicando que o atacante levou praticamente tudo o que estava acessível ali. A Cozy Finance ocupa a quinta posição entre protocolos de seguros, com aproximadamente US$ 1,3 milhão em valor total bloqueado (TVL), o que coloca o evento em perspectiva diante de uma base de capital relativamente enxuta. Não é a primeira falha de segurança do protocolo na Optimism. Em agosto de 2025, outro invasor levou cerca de US$ 427 mil ao explorar um código de saque que não verificava quem concluía um resgate. Um segundo ataque na mesma rede, mesmo com perda menor, reforça dúvidas sobre recorrência de vulnerabilidades e prontidão defensiva. A Blockaid disse que deve divulgar mais detalhes à medida que o rastreamento avança, observando que estimativas iniciais podem mudar durante a investigação. Para a Cozy, o ponto imediato é inequívoco: em cerca de treze meses, duas ofensivas distintas atingiram suas operações na Optimism.