Cozy Finance在Optimism遭持續攻擊
安全公司Blockaid監測到，去中心化金融風險管理協議Cozy Finance部署在Optimism上的合約正被持續性攻擊，截至披露時攻擊者已轉走約17萬美元資產。
鏈上痕跡指向穩定幣與協議代幣同時被調動。英文彙編記錄顯示，多地址在轉移Optimism橋接的USD Coin，並銷燬Cozy PToken；一筆被標記成功的交易落在區塊156580507。Blockaid公佈了初步攻擊信息，並標記攻擊交易、多個攻擊者地址，以及一枚疑似被利用的相關代幣地址。是否仍在進行中尚未由官方結算確認，與相關合約交互被要求謹慎。
這不是該協議第一次在同一條鏈上失血。2025年8月30日，Cozy Finance作爲“黑客防護”協議在Optimism被盜約42.7萬美元。當時贖回分兩步：先在CSET合約調用redeem()拿到贖回編號，再調用completeWithdraw()。completeWithdraw()未校驗調用者身份，任何人只要提交他人的贖回編號就能完成提款；unwrapWrappedAssetViaConnectorForWithdraw還允許把收款地址寫成任意賬戶。一名用戶8月28日發起約42.7萬美元贖回並得到編號6，資金被他人領走，經橋接到以太坊主網後進入混幣器。同一用戶在此前剛完成約67.7萬美元贖回。
金額放進2026年損失賬本里偏小。Blockaid統計上半年驗證攻擊212起、損失約11億美元，次數爲2025年全年的3.4倍；運營安全與私鑰失竊占損失約74%，KelpDAO約2.92億美元與Drift約2.85億美元兩單就佔大頭。Ostium在Arbitrum因預言機被盜約1800萬USDC，同樣由Blockaid先報警。小額、多地址、可重複調用的攻擊，統計上容易被大單淹沒，但會把仍開放的函數接口繼續試探。
Cozy給自己的定位是Safety Stack：第一層先損保護、第二層壞賬保護、第三層災難保護，夾在貸款協議與極端損失之間。Stream Finance等事件後，它把“主流機構把用戶資金送進鏈上金庫”寫成需求。防護協議自己的提款與代幣銷燬路徑被反覆打穿，買保護的人面對的是保護層合約風險，而不是底層貸款協議風險。
市場機制上，賣出的是協議金庫裏的橋接USDC和可銷燬PToken，買入的是攻擊者控制的地址。事件驅動明確：接口可被重複調用，不必等治理或預言機窗口。資金從Optimism金庫流向攻擊地址，歷史先例是再過橋、進混幣器。受益的是能先監測、先標記地址的安全廠商和搶跑清算機器人；承壓的是仍把資金留在Cozy相關合約裏的存款人，以及把“保險層”當成已審計終態的集成方。17萬美元改變不了行業損失總量，但會改變誰還敢把保護模塊當成無條件安全墊。
來源：公開信息
ABAB AI 解讀
Cozy不是普通收益農場，是把“黑客之後誰賠”產品化的協議。2025年那次失竊打在completeWithdraw()的身份校驗上，屬於訪問控制缺失，不是複雜數學。時隔約一年再次在Optimism出現多地址轉USDC、燒PToken，說明同一條鏈、同一套資產包裝仍被當作可重複實驗場。防護協議被黑，在行業裏有固定諷刺結構：賣保險的人先賠自己的金庫。
資本路徑短。用戶把穩定幣存進保護模塊，換出PToken一類憑證；攻擊者反轉銷燬與提取順序，把金庫資產變成可橋接的USDC。2025年路徑是Optimism到以太坊再到混幣器；2026年披露時停留在多地址與代幣標記，後續是否重複舊路徑取決於攻擊是否被暫停。Blockaid的商業模式是把監測賣給錢包和交易所，Coinbase、MetaMask是其客戶名單上的名字。小額持續攻擊對監測公司是樣品，對金庫是消耗。
對照要具體。KelpDAO、Drift是國家級或高組織攻擊，打的是橋和密鑰；Ostium打的是帶未來時間戳的預言機報告；Cozy兩次都落在贖回與憑證函數。Truebit五年後被整數溢出掏走2640萬美元，證明舊合約不會因爲“已經上線很久”自動變安全。行業階段是損失次數創新高、單筆未必創新高：上半年212起裏大部分不會上頭條，但會把長尾協議的TVL慢慢抽乾。
結構判斷屬於技術替代失敗後的信任重構。機制是：保護層把底層協議的尾部風險包裝成可交易代幣，等於多開一個可被組合調用的攻擊面；兩步贖回如果第二步不綁定第一步的發起人，編號就變成任何人都能兌付的支票。DeFi把審計當完工證明，攻擊者把未校驗參數當提款憑證。所以保險協議的定價權不在保費模型，在函數誰能調用。
ABAB News · 認知定律
賣保護的合約，本身就是新的攻擊面
兩步流程缺校驗，編號就等於支票
小額持續攻擊，專打不上頭條的金庫