Cozy Finance在Optimism遭持续攻击

安全公司Blockaid监测到，去中心化金融风险管理协议Cozy Finance部署在Optimism上的合约正被持续性攻击，截至披露时攻击者已转走约17万美元资产。

链上痕迹指向稳定币与协议代币同时被调动。英文汇编记录显示，多地址在转移Optimism桥接的USD Coin，并销毁Cozy PToken；一笔被标记成功的交易落在区块156580507。Blockaid公布了初步攻击信息，并标记攻击交易、多个攻击者地址，以及一枚疑似被利用的相关代币地址。是否仍在进行中尚未由官方结算确认，与相关合约交互被要求谨慎。

这不是该协议第一次在同一条链上失血。2025年8月30日，Cozy Finance作为“黑客防护”协议在Optimism被盗约42.7万美元。当时赎回分两步：先在CSET合约调用redeem()拿到赎回编号，再调用completeWithdraw()。completeWithdraw()未校验调用者身份，任何人只要提交他人的赎回编号就能完成提款；unwrapWrappedAssetViaConnectorForWithdraw还允许把收款地址写成任意账户。一名用户8月28日发起约42.7万美元赎回并得到编号6，资金被他人领走，经桥接到以太坊主网后进入混币器。同一用户在此前刚完成约67.7万美元赎回。

金额放进2026年损失账本里偏小。Blockaid统计上半年验证攻击212起、损失约11亿美元，次数为2025年全年的3.4倍；运营安全与私钥失窃占损失约74%，KelpDAO约2.92亿美元与Drift约2.85亿美元两单就占大头。Ostium在Arbitrum因预言机被盗约1800万USDC，同样由Blockaid先报警。小额、多地址、可重复调用的攻击，统计上容易被大单淹没，但会把仍开放的函数接口继续试探。

Cozy给自己的定位是Safety Stack：第一层先损保护、第二层坏账保护、第三层灾难保护，夹在贷款协议与极端损失之间。Stream Finance等事件后，它把“主流机构把用户资金送进链上金库”写成需求。防护协议自己的提款与代币销毁路径被反复打穿，买保护的人面对的是保护层合约风险，而不是底层贷款协议风险。

市场机制上，卖出的是协议金库里的桥接USDC和可销毁PToken，买入的是攻击者控制的地址。事件驱动明确：接口可被重复调用，不必等治理或预言机窗口。资金从Optimism金库流向攻击地址，历史先例是再过桥、进混币器。受益的是能先监测、先标记地址的安全厂商和抢跑清算机器人；承压的是仍把资金留在Cozy相关合约里的存款人，以及把“保险层”当成已审计终态的集成方。17万美元改变不了行业损失总量，但会改变谁还敢把保护模块当成无条件安全垫。

来源：公开信息