Un ataque a Cozy Finance sustrae 170.000 dólares a la aseguradora DeFi por segunda vez

La firma de seguridad blockchain Blockaid detectó un exploit de Cozy Finance en Optimism a primera hora del lunes. El atacante drenó unos 170.000 dólares y transfirió los fondos a través de un puente en 13 minutos.

Cozy Finance opera mercados de protección que permiten a los usuarios comprar cobertura frente a fallos de DeFi. Un ataque anterior en Optimism le costó al protocolo unos 427.000 dólares en agosto de 2025.

El atacante transfirió el dinero a través de un puente en 13 minutos

La transacción del exploit se registró el lunes a las 05:43 UTC, según los datos del explorador de OP Mainnet. Sacó del protocolo unos 163.326 USDC.e mediante 63 transferencias de tokens.

Mientras tanto, la misma transacción quemó aproximadamente 1,6 millones de Cozy PToken (CPT). A continuación, el atacante autorizó un token y envió los fondos a través de un puente a las 05:56 UTC.

Esa salida se produjo antes de que Blockaid publicara su alerta. Los registros del explorador no muestran más movimientos de la billetera desde entonces.

El atacante también se preparó con mucha antelación. Los registros muestran que el contrato del ataque se activó el 2 de septiembre, cinco días antes del drenaje. La billetera recibió sus primeros fondos de un solver de Relay.

Blockaid también señaló a Cozy Set (CSET) como el contrato del token vulnerado. El contrato sigue sin verificarse y aún contiene unos 4.168 dólares en USDC.e.

El exploit de Cozy Finance repite un fallo de 2025

Esta no es la primera pérdida del protocolo en Optimism. Un atacante se llevó unos 427.000 dólares en agosto de 2025, según descubrió la firma de seguridad Verichains.

La falla estaba en el código de retiro, que nunca verificaba quién completaba un canje. Cozy Finance ocupa ahora el quinto lugar entre los protocolos de seguros de DefiLlama, con alrededor de 1,3 millones de dólares.

DefiLlama registraba unos 172.000 dólares en Optimism. Por lo tanto, parece que el atacante vació casi todo el despliegue allí.

Las incursiones similares siguen afectando a DeFi. Notional Finance perdió 1,73 millones de dólares la semana pasada debido a un error de desbordamiento de enteros. Días antes, Full Sail puso fin a sus operaciones después de que un atacante se llevara unos 91.000 dólares.

El lunes también se produjo un caso mucho mayor. Unos 320 millones de dólares en Bitcoin salieron de la red Liquid, y los responsables afirmaron en la cadena que actuaban con intenciones de sombrero blanco.

Sin embargo, las cifras iniciales de pérdidas suelen cambiar. Blockaid calculó primero en 9,3 millones de dólares el impacto de un exploit de Flow en agosto, antes de que la red situara los daños cerca de los 410.000 dólares.

Blockaid prometió ofrecer más detalles mientras sigue el rastro del dinero. La suma es pequeña, pero una segunda brecha en la misma cadena plantea preguntas más difíciles.

Fuente: BeInCrypto