블록체인 보안업체 블록에이드(Blockaid)는 월요일 오전 옵티미즘(Optimism) 네트워크에서 발생한 코지파이낸스(Cozy Finance) 익스플로잇을 경고했습니다. 공격자는 약 17만 달러를 탈취했고, 이 자금을 13분 만에 브릿지로 이동시켰습니다.
코지파이낸스(Cozy Finance)는 사용자가 디파이(DeFi) 실패에 대비한 커버 상품을 구매할 수 있는 보호 마켓을 운영합니다. 2025년 8월에는 이전 옵티미즘 공격으로 프로토콜에서 약 42만7천 달러의 손실이 발생했습니다.
공격자, 13분 만에 자금 브릿지로 이동 완료
익스플로잇 거래는 월요일 05:43(UTC)경 옵티미즘 메인넷 탐색기 데이터에 기록되었습니다. 해당 거래에서는 프로토콜에서 약 163,326 USDC.e를 63번의 토큰 전송을 통해 이동시켰습니다.
이 과정에서 동일한 거래로 약 160만 코지PToken(CPT)이 소각되었습니다. 공격자는 이후 토큰을 승인했고, 05:56(UTC)에 자금을 브릿지로 옮겼습니다.
이 출금은 블록에이드가 경고를 발표하기 전에 이루어졌습니다. 탐색기 기록에서는 해당 지갑에서 추가 자금 이동이 관찰되지 않았습니다.
공격자는 사전에 철저히 준비한 것으로 나타났습니다. 기록에 따르면 공격 계약은 드레인 5일 전인 9월 2일에 배포되었습니다. 이 지갑은 중계 솔버에서 처음으로 자금을 받아갔습니다.
블록에이드는 코지셋(Cozy Set, CSET)이 남용된 토큰 계약임도 언급했습니다. 해당 계약은 아직 검증되지 않았으며 약 4,168 USDC.e가 남아 있습니다.
Blockaid. Source: X🚨Community alert:
— Blockaid (@blockaid_) September 7, 2026
Blockaid detected an ongoing exploit on @cozyfinance on Optimism.
170k$ drained so far.
More details in 🧵
코지파이낸스 익스플로잇, 2025년 실패 반복
이번 사건은 옵티미즘에서 이 프로토콜이 처음 겪은 손실이 아닙니다. 2025년 8월에도 한 공격자가 약 42만7천 달러를 탈취한 것으로 보안업체 베리체인스(Verichains)가 밝혔습니다.
문제는 출금 코드에서 발생했습니다. 해당 코드는 누가 상환을 완료했는지 확인하지 않았습니다. 현재 코지파이낸스는 디파이라마(DefiLlama) 기준 보험 프로토콜 중 다섯 번째로 약 130만 달러를 보유하고 있습니다.
디파이라마 집계에 따르면 옵티미즘에서는 약 17만2천 달러가 예치되어 있었습니다. 이로 미루어 공격자가 거의 전액을 탈취한 것으로 추정됩니다.
이와 유사한 공격은 디파이 전반에서 계속 발생하고 있습니다. 노셔널파이낸스(Notional Finance)는 정수 오버플로 버그로 지난주 약 173만 달러의 손실이 있었습니다. 며칠 전에는 풀세일(Full Sail)이 약 9만1천 달러 탈취를 경험한 후 운영을 종료했습니다.
월요일에는 더 큰 사건이 있었습니다. 약 3억2천만 달러 상당의 비트코인이 리퀴드 네트워크(Liquid Network)에서 이탈했고, 관계자들은 온체인에서 화이트햇 목적임을 밝혔습니다.
초기 피해 금액은 자주 변동됩니다. 블록에이드는 8월 플로우(Flow) 익스플로잇을 930만 달러로 추산했으나, 네트워크에서는 피해 규모를 약 41만 달러로 보고했습니다.
블록에이드는 자금 추적이 진행됨에 따라 더 많은 세부 정보를 공개할 것이라고 약속했습니다. 금액은 소규모이지만 동일 체인에서 두 차례 발생한 보안 사고는 더 큰 의문을 남깁니다.
kr.beincrypto.com 에서 Phil Haunhorst의 원본 기사 코지 파이낸스 해킹, 디파이 보험사서 $17만 달러 2번째 유출 읽기