La société de sécurité blockchain Blockaid a signalé un hack de Cozy Finance sur Optimism tôt lundi matin. L’attaquant a drainé environ 170 000 dollars et a fait transiter les fonds hors du réseau en 13 minutes à peine.
Cozy Finance propose des marchés de protection qui permettent aux utilisateurs d’acheter une couverture contre les défaillances de la DeFi. Une précédente attaque sur Optimism avait coûté au protocole environ 427 000 dollars en août 2025.
L’attaquant a fait sortir les fonds en 13 minutes
La transaction du hack a eu lieu à 05h43 UTC lundi, selon les données de l’explorateur OP Mainnet. Environ 163 326 USDC.e ont été extraits du protocole sur 63 transferts de jetons.
En parallèle, la même transaction a brûlé environ 1,6 million de Cozy PToken (CPT). L’attaquant a ensuite validé un jeton et a transféré les fonds par le biais d’un bridge à 05h56 UTC.
Cette sortie a eu lieu avant que Blockaid ne publie son alerte. Les enregistrements de l’explorateur montrent qu’aucun autre mouvement n’a eu lieu depuis ce wallet.
L’attaquant s’était également préparé bien à l’avance. Les données indiquent que le contrat d’attaque a été activé le 2 septembre, soit cinq jours avant le drainage des fonds. Ce wallet a reçu ses premiers fonds par le biais d’un Relay solver.
Blockaid a également identifié Cozy Set (CSET) comme le smart contract de jeton exploité. Ce contrat n’est toujours pas vérifié et détient encore environ 4 168 dollars en USDC.e.
Le hack de Cozy Finance répète un échec de 2025
Ce n’est pas la première perte du protocole sur Optimism. Un attaquant avait dérobé environ 427 000 dollars en août 2025, selon la société de sécurité Verichains.
La faille se situait dans le code de retrait, qui ne vérifiait jamais qui effectuait la demande de rachat. Cozy Finance figure désormais au cinquième rang des protocoles d’assurance sur DefiLlama, avec environ 1,3 million de dollars sous gestion.
DefiLlama listait environ 172 000 dollars côté Optimism. L’attaquant semble donc avoir vidé quasiment tout le déploiement sur ce réseau.
Des attaques similaires continuent de frapper la DeFi. Notional Finance a perdu 1,73 million de dollars la semaine dernière en raison d’un bug d’overflow d’entier. Quelques jours plus tôt, Full Sail a mis fin à ses activités après un hack d’environ 91 000 dollars.
Lundi a également été marqué par un cas bien plus important. Environ 320 millions de dollars en Bitcoin ont quitté le Liquid Network, les acteurs avouant des intentions white hat on-chain.
Cependant, les premières estimations des pertes évoluent souvent. Blockaid avait initialement évalué un hack Flow en août à 9,3 millions de dollars, avant que le réseau ne situe les dommages autour de 410 000 dollars.
Blockaid a promis de fournir plus de détails au fur et à mesure que l’initiative permet de retracer les fonds. Le montant reste faible, mais une seconde faille sur la même blockchain soulève des questions plus profondes.
