Cozy Finance verliest $160k door kwetsbaarheid in smart contract

Het DeFi-protocol Cozy Finance heeft een aanval ondergaan waarbij een onbekende dader ongeveer $160.000 heeft buitgemaakt. De aanvaller exploiteerde een kwetsbaarheid in de smart contract van het protocol door valse prijsgegevens in te dienen via het UMA Optimistic Oracle.

SlowMist, een gespecialiseerde beveiligingsfirma in de cryptowereld, ontdekte en rapporteerde de aanval. Volgens hun analyse aanvaarde het Cozy Finance-contract automatisch prijsvoorstellen van $1 biljoen (1e18) die door de aanvaller via het permissionloze UMA Optimistic Oracle werden ingediend.

In het kort:

• Een aanvaller diende valse prijsgegevens in via UMA Optimistic Oracle
• Het contract accepteerde deze zonder onafhankelijke verificatie
• De dader kon hierdoor CPT-tokens voor ongeveer $160.000 uitkeren

Hoe de aanval precies plaatsvond

De kern van het probleem lag in het verificatieproces. Het Cozy Finance-contract controleerde niet zelfstandig of de prijsgegevens echt afkomstig waren van evenementen op Aave of Curve. Dit betekent dat de aanvaller eenvoudig een “ja”-voorstel kon indienen met een extreem hoge prijs, en het contract accepteerde dit als waarheid.

Nadat het contract deze valse gegevens aanvaardde, classificeerde het automatisch de situatie als een beveiligingsincident en schakelde het de markt in de TRIGGERED-staat. Dit stelde de aanvaller in staat om CPT-tokens in te wisselen tegen geld.

De getroffen contracten en dader

SlowMist identificeerde de aanvaller als het adres 0x003FE7359A4E03C85Ac2f521eC699ED84C7c5ccB. Het slachtoffer was wallet 0x17705474203f7ff7ba8a940c433ab43d1f58e249. De kwetsbaarheid bevond zich in meerdere contracten, waaronder de hoofdcontracten en de uitkeringsfunctie.

De beveiligingsfirma publiceerde de blockchaintransacties waarin de aanval plaatsvond, zodat de gemeenschap de precieze uitvoering kon volgen en het protocol kon worden bijgewerkt.