Seguro contra hacks é hackeado de novo e Cozy Finance perde US$ 170 mil na Optimism

A Cozy Finance, protocolo de seguros contra falhas em contratos inteligentes, foi atacada novamente na manhã desta segunda-feira, 7 de setembro, e teve cerca de US$ 170 mil drenados de sua implantação na Optimism. O protocolo já tinha perdido US$ 427 mil na mesma rede em 2025, e o valor desta segunda rodada sai de uma estrutura que existe justamente para proteger depositantes. A Blockaid, empresa de segurança on-chain, detectou o exploit enquanto ele ainda ocorria e publicou um alerta público na rede social X.

O protocolo opera um mercado de proteção que permite aos usuários comprarem cobertura contra falhas em outros projetos de DeFi. A ideia é atuar como uma camada de seguro para quem empresta ativos em plataformas descentralizadas. Mas a mesma estrutura que promete proteger depositantes se mostrou, mais uma vez, vulnerável. A Blockaid identificou o contrato Cozy Set (CSET) como a porta de entrada do ataque.

O contrato permanece sem verificação no explorador de blocos e ainda mantém cerca de US$ 4.168 em USDC.e presos. Os apontamentos preliminares da própria Blockaid indicam que o ataque envolveu reentrância.

A preparação e a execução do ataque

A transação maliciosa ocorreu às 02h43 de Brasília. Em um único bloco, o atacante moveu cerca de 163.326 USDC.e para fora do contrato usando 63 transferências consecutivas.

Durante a mesma operação, aproximadamente 1,6 milhão de Cozy PToken (CPT) foram queimados. O CPT é o token de participação do protocolo, usado para representar a participação dos depositantes no fundo de seguro. A queima massiva indica que o atacante não apenas retirou o dinheiro, mas destruiu parte da estrutura interna do contrato. Os dados do explorador de blocos da OP Mainnet confirmam que os fundos saíram da carteira do protocolo em segundos.

Treze minutos depois, os fundos já haviam sido enviados através de uma ponte.

O contrato usado no ataque foi ativado em 2 de setembro, cinco dias antes do saque. Os primeiros recursos que financiaram a operação vieram de um Relay solver, um tipo de bot especializado em resolver operações de liquidez em diferentes redes. Essa preparação prévia sugere que o atacante monitorava o código do Cozy Finance por algum tempo. O protocolo também não tem auditoria pública do código, um problema antigo.

A falha que se repete desde 2025

Em 29 de agosto de 2025, a Cozy Finance já havia sido atacada na mesma cadeia, a Optimism, em um episódio que resultou em perdas de aproximadamente US$ 427 mil. Na época, a empresa de segurança Verichains publicou uma análise detalhada do ataque, apontando que a função de saque não verificava quem estava chamando a operação.

O atacante de 2025 usou uma vulnerabilidade no processo de resgate em duas etapas. Primeiro, a vítima chamava a função redeem para obter um número de resgate. Depois, qualquer um podia usar esse número para completar o saque em nome dela.

O ataque de 2025 resultou em perdas de aproximadamente US$ 427 mil.

A Cozy Finance ocupa hoje a quinta posição entre protocolos de seguro no DeFiLlama, com um TVL total de aproximadamente US$ 1,3 milhão. A implantação na Optimism representa uma parcela significativa desse valor, estimada em US$ 172 mil segundo dados da plataforma. Isso significa que o atacante drenou praticamente todo o capital que o protocolo mantinha na rede.

O caso expõe uma fragilidade recorrente no setor de seguros descentralizados. Protocolos que vendem proteção contra ataques viram alvo dos próprios ataques que prometem cobrir, porque concentram capital próprio em contratos visíveis na rede.

A Cozy Finance ainda não publicou um comunicado oficial sobre o incidente mais recente.

O exploit se soma a uma sequência de ataques que marcou o primeiro semestre de 2026, com números que superam qualquer semestre anterior. Segundo relatório da Blockaid, 212 incidentes de segurança foram confirmados no período, totalizando perdas de aproximadamente US$ 1,1 bilhão. O número de incidentes é 3,4 vezes superior ao total de 2025, e o valor perdido acompanha essa escalada.

Para os depositantes que ainda mantêm fundos em contratos da Cozy, o risco agora inclui a própria camada de proteção. A promessa de seguro contra falhas de terceiros perde força quando o próprio fornecedor do seguro é atingido duas vezes.

O dinheiro que deveria cobrir perdas em outros protocolos acabou sendo ele próprio a vítima.

Enquanto a Blockaid promete mais detalhes sobre o rastreamento dos fundos, a repetição do ataque na mesma cadeia levanta questões sobre a eficácia das correções implementadas após 2025. O histórico indica que o código que já foi quebrado uma vez tende a ser quebrado de novo, sobretudo quando as correções acontecem sem auditoria externa independente.