Blockchain güvenlik firması Blockaid, pazartesi sabahının erken saatlerinde Optimism üzerinde Cozy Finance’e yönelik bir siber saldırıyı tespit ediyor. Saldırgan yaklaşık 170.000 doları protokolden çekerek yalnızca 13 dakika içinde bu fonları başka bir ağa aktarıyor.
Cozy Finance, kullanıcıların DeFi başarısızlıklarına karşı finansal koruma satın alabileceği bir koruma piyasası sunuyor. Protokol, ağustos 2025’te Optimism’de yaşanan bir önceki saldırıda da yaklaşık 427.000 dolar kaybetmişti.
Saldırgan Parayı 13 Dakikada Başka Ağa Aktardı!
OP Mainnet explorer’ındaki verilere göre, istismar işlemi pazartesi günü saat 05:43’te gerçekleşiyor. Bu işlemle protokolden toplamda 163.326 USDC.e 63 ayrı token transferiyle çekiliyor.
Aynı zamanda, aynı işlemle yaklaşık 1,6 milyon Cozy PToken (CPT) “yakılıyor”. Saldırgan daha sonra bir token’ı onaylayıp saat 05:56’da parayı bridge üzerinden aktarıyor.
Bu çıkış, Blockaid’in uyarısı yayınlanmadan hemen önce yaşanıyor. Explorer kayıtlarında cüzdandan o andan beri başka herhangi bir hareket görünmüyor.
Saldırgan aslında önceden hazırlık da yapıyor. Kayda göre saldırı kontratı 2 eylül’de, yani çekim işleminden beş gün önce devreye alınıyor. Ayrıca cüzdan ilk fonunu bir Relay solver’dan alıyor.
Blockaid ayrıca Cozy Set (CSET) isimli token kontratının da istismar edildiğini raporluyor. Bu kontrat halen doğrulanmamış durumda ve halen yaklaşık 4.168 dolar değerinde USDC.e tutuyor.
Cozy Finance, 2025’teki Fiyaskoyu Tekrar Yaşıyor!
Bu, protokolün Optimism’deki ilk kaybı değil. Ağustos 2025’te bir saldırgan yaklaşık 427.000 doları protokolden çekmişti, güvenlik firması Verichains bunu ortaya çıkardı.
Sorunun kaynağı, para çekme fonksiyonundaydı: Kimin çekim yaptığı sistem tarafından hiçbir zaman kontrol edilmemiş. Bugün Cozy Finance, DefiLlama verilerine göre yaklaşık 1,3 milyon dolar ile sigorta protokolleri arasında beşinci sırada yer alıyor.
DefiLlama, Optimism tarafta yaklaşık 172.000 dolarlık varlık gösteriyor. Yani saldırgan oradaki neredeyse tüm fonu tek hamlede silip süpürmüş görünüyor.
Son dönemde DeFi’da buna benzer bir dizi saldırı piyasayı sallamaya devam ediyor. Notional Finance, geçen hafta integer overflow kaynaklı bir hata nedeniyle 1,73 milyon dolar kaybetmişti. Birkaç gün önce ise Full Sail faaliyetlerini sona erdirmek zorunda kalmıştı: Bir saldırgan yaklaşık 91.000 doları alıp ortadan kayboldu.
Pazartesi ise çok daha büyük bir vaka yaşandı. Liquid Network’te yaklaşık 320 milyon dolar değerinde Bitcoin transfer edildi ve aktörler durumu zincir üstü açıklamalarla “white hat” yani etik hacker’lık niyetine bağladı.
Ancak erken aşamadaki kayıp tahminleri zamanla değişebiliyor. Blockaid, ağustos ayında Flow’da yaşanan bir istismar vakasını ilk başta 9,3 milyon dolar olarak açıklamıştı ancak ağ yönetimi zararı yaklaşık 410.000 dolar olarak duyurdu.
Blockaid, fon akışını takip ederek daha fazla ayrıntı paylaşma sözü veriyor. Tutar küçük gibi görünse de aynı zincirde kısa sürede ikinci büyük açık olması, “Ateş olmayan yerden duman çıkmaz” dedirtecek cinsten zor soruları gündeme getiriyor.
