Perusahaan keamanan blockchain, Blockaid, menandai adanya eksploitasi Cozy Finance di Optimism pada Senin pagi. Pelaku berhasil menguras dana sekitar US$170.000 dan langsung menjembatani dana itu keluar dalam waktu 13 menit.
Cozy Finance mengelola pasar perlindungan yang memungkinkan pengguna membeli cover terhadap kegagalan decentralized finance. Serangan di Optimism sebelumnya telah menyebabkan protokol ini rugi sekitar US$427.000 pada Agustus 2025.
Penyerang Menjembatani Dana Keluar dalam 13 Menit
Transaksi eksploitasi terjadi pada pukul 05:43 UTC hari Senin, menurut data dari explorer OP Mainnet. Transaksi tersebut memindahkan kurang lebih 163.326 USDC.e dari protokol lewat 63 transfer token.
Pada saat yang sama, transaksi tersebut juga membakar sekitar 1,6 juta Cozy PToken (CPT). Pelaku lalu menyetujui satu token dan segera membawa dana itu keluar melalui bridge pada pukul 05:56 UTC.
Pencairan dana itu terjadi sebelum Blockaid menerbitkan peringatannya. Catatan explorer memperlihatkan tidak ada pergerakan dana lebih lanjut dari wallet tersebut sejak kejadian.
Pelaku kejahatan juga sudah mempersiapkan aksinya sejak awal. Catatan menunjukkan kontrak serangan sudah aktif sejak 2 September, lima hari sebelum pencurian. Wallet tersebut memperoleh dana pertamanya dari Relay solver.
Blockaid juga menyebut Cozy Set (CSET) sebagai kontrak token yang kena eksploitasi. Kontrak ini masih belum diverifikasi dan masih menyimpan sekitar US$4.168 dalam USDC.e.
Eksploitasi Cozy Finance Mengulang Kegagalan Tahun 2025
Ini bukan kerugian pertama yang dialami protokol di Optimism. Seorang penyerang mengambil sekitar US$427.000 pada Agustus 2025, terang perusahaan keamanan Verichains.
Celahnya terdapat pada kode penarikan, karena tidak pernah memeriksa siapa yang melakukan redeem. Cozy Finance kini menempati posisi kelima di antara protokol asuransi menurut DefiLlama, dengan total dana sekitar US$1,3 juta.
DefiLlama mencatat dana sekitar US$172.000 di jaringan Optimism. Jadi, pelaku nampaknya hampir menguras seluruh dana yang ada di deployment tersebut.
Kejadian serupa memang terus terjadi di dunia decentralized finance. Notional Finance kehilangan US$1,73 juta pekan lalu akibat bug integer overflow. Beberapa hari sebelumnya, Full Sail menutup operasi setelah serangan yang menyebabkan kerugian sekitar US$91.000.
Hari Senin juga menghadirkan kasus yang jauh lebih besar. Sekitar US$320 juta dalam Bitcoin keluar dari Liquid Network, dan para pelaku mengklaim niat mereka sebagai white hat di on-chain.
namun, angka kerugian awal sering berubah. Blockaid pertama kali memperkirakan eksploitasi Flow bulan Agustus sebesar US$9,3 juta, sebelum jaringan menyatakan kerugian hanya sekitar US$410.000.
Blockaid menjanjikan detail lebih lanjut saat mereka melacak aliran dana. Jumlahnya memang kecil, tapi kejadian kedua pada chain yang sama menimbulkan pertanyaan lebih serius.
