Cozy FinanceがOptimism(OP)で17万ドル規模のハッキング被害

Cozy Finance、Optimism上で17万ドルを喪失

DeFiのカバープロトコルCozy Financeが、月曜早朝にOptimism(OP)上で発生した攻撃により、およそ17万ドル相当の資金を失った。同プロトコルがEthereumのLayer 2ネットワーク上で資金を引き抜かれるのは、これで2回目である。事実が明るみに出たのは、ブロックチェーンセキュリティ企業BlockaidがXに投稿した緊急のコミュニティ警報だ。警報は、プロトコルのプロテクションマーケットから資金が継続的に引き出されている進行中の攻撃を告知していた。このマーケットは、DeFi界隈で他のプロトコルが破綻した際の補償をユーザーに販売する仕組みで、ステーブルコイン流動性を一つの拠点に集中させる構造を持つ。

OP Mainnetのエクスプローラーが記録したオンチェーンデータによれば、攻撃トランザクションは05:43 UTCに実行された。この取引では、約163,326 USDC.eが合計63回の個別トークン転送を通じてプロトコル外へ移動し、同一トランザクション内で、カバーポジションの受取証であるCozy PToken(CPT)約160万枚が焼却された。攻撃者はその後、追加のトークンを承認し、05:56 UTCに盗んだ資金をブリッジへ通した。最初の引き抜きからチェーン間送金の完了まで、わずか13分。Blockaidが警報を公開する前に、資金の出口はすでに閉じられていた。エクスプローラー記録上、ブリッジ送金以降に攻撃者ウォレットの追加の動きは確認されておらず、ミキサーを経由した形跡もこの時点ではオンチェーンで見えない。執筆時点で、Cozy FinanceおよびOptimismチームから公式声明は出ていない。

2025年の42万7,000ドル損失に続く2度目

今回の流出は、単発の事故ではなく再発である。2025年8月にも、攻撃者がOptimism上のCozy Financeからおよそ42万7,000ドルを持ち去っている。セキュリティ調査企業Verichainsの分析では、当時の被害は出金コードの欠陥に起因した。償還を完了した人物の本人確認をコードが一切行っておらず、償還を呼び出せた任意のアドレスが受取先を差し替えられる状態だったという。今回の攻撃については、これに匹敵する技術的説明がまだ公表されておらず、同種のバグが再び関わったのかどうかも確認されていない。

月曜の損失がいかに相対的に大きいかは、数字が物語る。DefiLlamaが追跡する保険系プロトコルのランキングで、Cozy Financeは現在5位に位置し、ロックされた総価値(TVL)は約130万ドル。うち約17万2,000ドルがOptimism側に配置されている。この数字に照らすと、攻撃者はOP Mainnet上の配置資金のほぼ全額を奪った計算になる。つまり、このチェーンのカバーマーケットは実質的に空になった。なおOP Mainnetは、独立したサイドチェーンではなくEthereumへ決済を戻すロールアップだ。支払いメカニズムへの信頼そのものを商品とするプロトコルにとって、同一ネットワーク上での償還経路を巡る2度目の事故は、TVLランキングでは測れない評判面の打撃であり、Optimismエコシステム全体のソルベンシーに対する疑問も呼び起こす。

今回の被害は、DeFiセキュリティにとって容赦のない時期に起きた。先週はNotional Financeが整数オーバーフローのバグで173万ドルを失い、その数日前にはFull Sailが攻撃者に約9万1,000ドルを引き抜かれて運営を停止した。月曜にはさらに大規模な事例も発生している。Liquid Networkから約3億2,000万ドルのBitcoinが引き出され、関係者はオンチェーン上でホワイトハット(善意)の意図を主張した。なお、被害額の初報は動くのが常だ。Blockaidは当初、8月のFlowの攻撃を930万ドルと見積もったが、ネットワーク側の修正により損害は約41万ドルへ引き下げられた。資金追跡が進む中、Cozy Financeの最終的な被害額も変動する可能性がある。

オンチェーン記録が指し示す既知の弱点

当メディアがオンチェーン記録を読み解く限り、今回はフォレンジックとしては異例なほど整理された事案だ。単一の攻撃トランザクション、特定済みのブリッジ出口、以後一切動いていないウォレット。各要素はOP Mainnet上で独立に検証でき、Blockaidの公開警報が事実上の公式開示として機能している。未解明なのは根本原因だ。プロトコルの2025年の事後検証は、償還者の本人確認を省略した出金コードを前回の損失の原因と特定したが、月曜の流出にはまだ同等の説明が存在しない。約13か月の間に同一チェーンで2度目、しかもOptimism側の配置資金のほぼ全額に達する被害は、成長資金への5億4,690万OPのガバナンス再配分といったエコシステムの最近の動きと、基礎的なプロトコルセキュリティが両立できるのかを試すことになる。