Cozy Finance, Optimism (OP) Üzerindeki Koruma Piyasalarından 170.000 Dolar Kaybetti

Cozy Finance, Optimism Ağında 170.000 Dolar Kaybetti

DeFi koruma protokolü Cozy Finance, pazartesi sabahının erken saatlerinde Optimism (OP) ağı üzerinde gerçekleşen bir açıktan yararlanma (exploit) sonucunda yaklaşık 170.000 dolar kaybetti. Bu, sigorta sağlayıcısının Ethereum Layer 2 ağı üzerinde ikinci kez boşaltılması anlamına geliyor. Olay, blokzincir güvenlik firması Blockaid'in X platformunda yayımladığı acil durum topluluk uyarısıyla gündeme geldi. Uyarı, protokolün koruma piyasalarından (protection markets) fon çeken sürmekte olan bir saldırıya işaret ediyordu. Söz konusu piyasalar, kullanıcılara DeFi ekosisteminin başka noktalarındaki arızalara karşı koruma satıyor ve bu yapı, stablecoin likiditesini tek bir mekânda yoğunlaştırıyor.

OP Mainnet gezgininden alınan zincir üstü veriler, açıktan yararlanma işleminin 05.43 UTC'de gerçekleştiğini gösteriyor. Saldırgan, 63 ayrı token transferiyle yaklaşık 163.326 USDC.e'yi protokolden dışarı taşıdı ve aynı işlem içinde, kullanıcıların koruma pozisyonlarına karşılık elinde tuttuğu makbuz tokenı olan yaklaşık 1,6 milyon Cozy PToken (CPT) yakıldı. Ardından saldırgan ek bir token için onay verdi ve çalınan fonları 05.56 UTC'de bir köprü protokolü (bridge) üzerinden zincir dışına itti — ilk boşaltmadan zincirler arası çıkışa kadar geçen 13 dakikalık süre, Blockaid'in uyarısını yayımlamasından önce kapandı. Gezgin kayıtları, saldırganın cüzdanının köprü çıkışından bu yana herhangi bir hareketi olmadığını ve şimdiye kadar zincir üzerinde bir kripto mikser (crypto mixer) üzerinden geçiş görülmediğini gösteriyor. Yazının hazırlandığı anda ne Cozy Finance ne de Optimism ekibi açıktan yararlanmaya ilişkin kamuoyuna bir açıklama yapmış durumda değil.

2025'teki 427.000 Dolarlık Kayıptan Sonra İkinci Darbe

Pazartesi yaşanan boşaltma, tekil bir arıza değil tekrarlanan bir olay. Ağustos 2025'te bir saldırgan, Cozy Finance'ten Optimism üzerinde yaklaşık 427.000 dolar almıştı. Verichains'teki güvenlik araştırmacıları o kaybı çekilme kodundaki bir açığa bağlamıştı: kod, bir geri ödemeyi (redemption) kimin tamamladığını hiçbir zaman kontrol etmiyordu, dolayısıyla işlemi tetikleyebilen herkes ödemeyi kendi adresine yönlendirebiliyordu. Yeni ihlal için karşılaştırılabilir teknik bir açıklama henüz yayımlanmadı ve aynı sınıftan bir hata tekrar söz konusu mu, bu da doğrulanmış değil.

Pazartesi kaybının göreceli büyüklüğü çarpıcı. Cozy Finance, DefiLlama'nın izlediği sigorta protokolleri arasında şu anda beşinci sırada; toplamda kilitli değer (TVL) yaklaşık 1,3 milyon dolar ve bunun yaklaşık 172.000 dolarlık kısmı Optimism tarafında bulunuyor. Bu rakamlara bakıldığında saldırgan, OP Mainnet üzerindeki neredeyse tüm tahsisi süpürmüş görünüyor — Ethereum'a geri yerleşen (settle) bir rollup olan ağ, bağımsız bir yan zincir (sidechain) değil — ve zincirin koruma piyasaları fiilen boşaltılmış durumda. Ürünü ödeme mekanizmasına duyulan güven olan bir protokol için aynı ağda ikinci kez yaşanan bir geri ödeme yolu arızası, TVL sıralamalarının yansıtmadığı bir itibar darbesi ve daha geniş Optimism ekosistemi genelinde ödeme gücü sorularını gündeme getiriyor.

Bu ihlal, DeFi güvenliği için acımasız bir döneme denk geldi. Notional Finance geçen hafta bir tamsayı taşması (integer overflow) hatası nedeniyle 1,73 milyon dolar kaybetti; günler önce Full Sail ise saldırganın yaklaşık 91.000 dolar çekmesinin ardından faaliyetlerini sonlandırdı. Pazartesi günü başka bir yerde çok daha büyük bir vaka yaşandı: yaklaşık 320 milyon dolar değerinde Bitcoin, Liquid Network'ten çıktı ve failler zincir üzerinde beyaz şapkalı (white hat) niyet iddia etti. Erken kayıp rakamlarının ayrıca oynak olduğunu belirtelim — Blockaid, Ağustos'taki Flow açığını başlangıçta 9,3 milyon dolar olarak ölçmüştü, ağ ise hasarı daha sonra yaklaşık 410.000 dolara revize etti. Bu nedenle Cozy Finance için nihai tablo, fon izleme sürdükçe henüz değişebilir.

Zincir Üstü Kayıt Tanıdık Bir Açığa İşaret Ediyor

Zincir üstü kaydın bizim okumamızda bu vaka, adli analiz için alışılmadık ölçüde temiz: tek bir exploit işlemi, tespit edilmiş bir köprü çıkışı ve o günden beri kımıldamamış bir cüzdan. Her bir öğe OP Mainnet üzerinde bağımsız olarak doğrulanabilir durumda; Blockaid'in kamuya açık uyarısı ise olayın resmi ifşası işlevi görüyor. Asıl soru kök neden. Protokolün 2025 son analiz raporu, o tarihteki kaybı, geri ödeyenin kimliğini hiçbir zaman doğrulamayan çekilme koduna bağlamıştı; pazartesi boşaltması için henüz eşdeğer bir açıklama yok. Yaklaşık 13 ay içinde aynı zincirde yaşanan ve Optimism tahsisinin neredeyse tamamını süpüren ikinci bir ihlal, ekosistemin büyüme finansmanına yönelik son dönemdeki 546,9 milyon OP'lik yönetişim yeniden tahsisi ile taban protokol güvenliğinin bir arada var olup olamayacağını test edecek.