Cozy Finance bị khai thác lần hai trên Optimism, mất 170.000 USD chỉ trong 13 phút

TL;DR: Cozy Finance vừa hứng chịu vụ khai thác thứ hai trên mạng Optimism, thiệt hại khoảng 170.000 USD. Kẻ tấn công rút tiền và chuyển ra ngoài qua cầu nối chỉ 13 phút sau khi bắt đầu. Dòng tiền bị lấy đi chủ yếu là 163.326 USDC.e, đi qua 63 lần chuyển. Dữ liệu cho thấy hợp đồng dùng để tấn công đã được triển khai từ ngày 2/9, tức 5 ngày trước khi sự cố xảy ra. Trước vụ việc, triển khai của Cozy trên Optimism nắm khoảng 172.000 USD, hàm ý gần như toàn bộ số dư đã bị quét sạch. Trước đó, một vụ tấn công năm 2025 đã khiến giao thức thiệt hại 427.000 USD. Sáng thứ Hai, Cozy Finance tiếp tục bị khai thác trên Optimism khi một địa chỉ tấn công rút khoảng 170.000 USD, rồi nhanh chóng đưa tài sản qua bridge vào lúc 05:56 UTC, chỉ 13 phút sau giao dịch rút ban đầu. Tốc độ thoát tiền khiến sự cố không chỉ dừng ở mức thiệt hại tương đối nhỏ, mà trở thành cảnh báo an ninh đáng chú ý với dự án bảo hiểm DeFi này — nơi vận hành các thị trường "protection" cho phép người dùng mua bảo hiểm trước rủi ro sự cố trong hệ sinh thái tài chính phi tập trung. Blockaid cho biết đã phát hiện sự cố khi tài sản gần như đã rời khỏi hệ thống. Dữ liệu từ trình khám phá blockchain cũng cho thấy sau đó ví của kẻ tấn công không ghi nhận thêm động thái đáng kể. Vụ việc diễn ra hơn một năm sau lần Cozy bị tấn công trước đó cũng trên Optimism. Theo dữ liệu on-chain, giao dịch khai thác được ghi nhận lúc 05:43 UTC, rút khoảng 163.326 USDC.e khỏi giao thức thông qua 63 lần chuyển token. Trong cùng giao dịch, khoảng 1,6 triệu Cozy PToken (CPT) đã bị đốt (burn). Sau đó kẻ tấn công thực hiện phê duyệt (approve) token và chuyển tài sản qua cầu nối vào 05:56 UTC. Các dấu vết cho thấy khâu chuẩn bị không diễn ra ngay sát thời điểm rút tiền. Hợp đồng tấn công đã được triển khai từ ngày 2/9, tức sớm hơn 5 ngày. Hồ sơ cũng ghi nhận ví tấn công nhận khoản tiền đầu tiên từ một Relay solver trước khi chiến dịch bắt đầu, và toàn bộ quá trình diễn ra không có dấu hiệu bị gián đoạn. Sự cố lần này được cho là liên quan đến Cozy Set (CSET), token mà Blockaid xác định là hợp đồng bị lợi dụng. Hợp đồng này hiện vẫn ở trạng thái chưa được xác minh (unverified) và sau vụ tấn công còn giữ khoảng 4.168 USD tính theo USDC.e. Quy mô thiệt hại trở nên đáng chú ý hơn khi đặt cạnh số dư của Cozy trên Optimism: trước khi bị khai thác, triển khai này nắm khoảng 172.000 USD, cho thấy kẻ tấn công đã lấy gần như toàn bộ lượng tài sản sẵn có trên mạng đó. Cozy Finance hiện xếp thứ năm trong nhóm các giao thức bảo hiểm, với tổng giá trị khóa (TVL) khoảng 1,3 triệu USD, khiến vụ việc trở nên nhạy cảm khi xảy ra trong khung thời gian tấn công hẹp và trên nền vốn không lớn. Đây không phải lần đầu Cozy gặp vấn đề an ninh trên Optimism. Tháng 8/2025, một kẻ tấn công đã lấy khoảng 427.000 USD sau khi khai thác mã rút tiền không kiểm tra đúng danh tính bên hoàn tất quá trình đổi (redemption). Việc tiếp tục xảy ra vi phạm trên cùng một mạng lưới đặt ra câu hỏi lớn hơn về điểm yếu lặp lại và mức độ sẵn sàng phòng thủ, dù thiệt hại lần này nhỏ hơn. Blockaid cho biết sẽ cập nhật thêm khi quá trình truy vết tiếp tục; các ước tính ban đầu có thể thay đổi trong quá trình điều tra. Với Cozy, vấn đề trước mắt đã rõ: trong khoảng 13 tháng đầy biến động, hoạt động của dự án trên Optimism đã hứng chịu hai vụ tấn công riêng biệt.