O CTO da empresa de segurança Hexens, Vahe Karapetyan, descobriu em 5 de julho uma vulnerabilidade de cache obsoleto na Move Virtual Machine da blockchain Aptos, causando type confusion; essa vulnerabilidade pode enganar o software para contornar as garantias de segurança de tipo da linguagem Move. A Hexens montou um ambiente de simulação com servidores custando cerca de US$ 3 mil, e em 20 testes a taxa de sucesso do ataque se aproximou de 90%.
Servidor de US$ 3 mil: 20 simulações, 17-18 bem-sucedidas, taxa de sucesso próxima de 90%
De acordo com o relatório técnico da Hexens, a equipe de Karapetyan, para verificar a viabilidade da vulnerabilidade, construiu um ambiente de simulação próximo ao tamanho da mainnet: mais de 30 nós validadores, distribuição de staking próxima à mainnet, fluxo de transações reais e alta concorrência de execução, com custo de montagem de cerca de US$ 3 mil; se um ataque real fosse lançado, o custo seria ainda menor, e não exigiria permissões de validador, conhecimento interno ou acesso privilegiado.
A Hexens testou cerca de 20 vezes no ambiente simulado, com sucesso em 17-18 vezes, taxa de sucesso próxima de 90%; mesmo com 2-3 falhas ocasionais, a rede não pararia, e o invasor poderia esperar pacientemente pela próxima janela de oportunidade.
Intervenção do SEAL911: correção concluída em horas e notificação a projetos downstream
De acordo com relatos oficiais da Aptos e da CoinDesk, a Hexens reportou a vulnerabilidade em 25 de fevereiro de 2026 através do programa bug bounty da Aptos; a Aptos afirmou que, quando recebeu o relatório, a equipe já estava lidando com o problema. A equipe de resposta de emergência voluntária da indústria cripto, SEAL911, abriu uma sala de operações no mesmo dia; na tarde do mesmo dia, a Aptos notificou os fornecedores afetados e 4 principais projetos downstream, anexando uma prova de conceito (PoC) executável localmente.
A Aptos disse à CoinDesk: 「A correção foi desenvolvida, testada e implantada na mainnet em horas após a descoberta, e nenhum usuário ou fundo foi afetado durante todo o processo.」 O pull request público da correção foi disponibilizado em 27 de fevereiro, mas os validadores privados já haviam implantado a correção antes do commit público.
CTO da Polygon, Mudit Gupta, e Grego AI verificam PoC independentemente como válido
De acordo com a CoinDesk, houve uma diferença significativa entre as avaliações oficiais da Aptos e da Hexens: a Aptos afirmou que 「a análise considera que esta vulnerabilidade tem baixíssima explorabilidade em condições do mundo real」, enquanto a Hexens respondeu que até agora não recebeu nenhuma refutação técnica baseada em evidências.
Após revisar o PoC de forma independente, Mudit Gupta, CTO da Polygon, disse: 「Ele funciona como afirmado, a vulnerabilidade faz sentido... algumas condições precisam ser atendidas, e parece que eles realmente as alcançaram na mainnet.」
Após verificar o PoC, a organização independente Grego AI, seu CEO Justus Hanna disse: 「Se um agente malicioso obtiver essa vulnerabilidade, eles podem levar qualquer TVL (Total Value Locked) que desejarem.」
Estimativa de risco: exposição direta do TVL nativo da Aptos em aproximadamente US$ 250 milhões
De acordo com as avaliações da Hexens e da Grego AI, a escala de risco desta vulnerabilidade é dividida em dois níveis:
Exposição direta do TVL nativo da Aptos (avaliação da Grego AI): Com base na taxa de sucesso do ataque de quase 90%, aproximadamente US$ 250 milhões do TVL nativo da Aptos estão diretamente ameaçados, não incluindo exposição cross-chain.
Risco sistêmico (avaliação da Hexens): Até US$ 70 bilhões, abrangendo bridges cross-chain, sistemas de mensagens cross-chain, processos de gerenciamento de emissão de stablecoins e ativos acessíveis em exchanges centralizadas; esse número pressupõe que o invasor emita grandes quantidades de USDC e transfira os ativos para outras chains através do protocolo de transferência cross-chain da Circle (CCTP).
Limitação da Circle: A Circle afirmou que não congelaria ativos sem autorização legal, o que significa que, se as partes envolvidas intervirem a tempo, a probabilidade de todo o risco de US$ 70 bilhões se concretizar é limitada.
Risco de propagação da cadeia de confiança: As permissões de protocolo críticas na linguagem Move (cunhagem de stablecoins, controle de bridges cross-chain, gerenciamento de mercados de empréstimo) são armazenadas como 'recursos on-chain'. Uma vez comprometidas, o dano se propagaria ao longo da cadeia de confiança para todos os sistemas que dependem dela.
Em testes práticos, a Hexens chegou a assumir o controle de um papel semelhante ao 'master minter', operando através de caminhos de gerenciamento legítimos, parando antes da cunhagem real, mas isso já foi suficiente para provar que tais papéis devem ser incluídos em um modelo de ameaça completo.
Perguntas Frequentes
O que é a vulnerabilidade da Aptos Move VM e como ela funciona?
De acordo com o relatório técnico da Hexens, esta é uma 「vulnerabilidade de cache obsoleto (stale-cache bug)」, que causa 「type confusion」; o software é enganado para confundir um recurso on-chain com outro, contornando as garantias de segurança de tipo da linguagem Move, permitindo que o código controlado pelo invasor escreva diretamente no armazenamento de outros contratos.
Esta vulnerabilidade já foi corrigida? Qual foi o cronograma da correção?
De acordo com a declaração oficial da Aptos, a vulnerabilidade foi corrigida, testada e implantada na mainnet em horas após o relatório em 25 de fevereiro de 2026, com validadores privados implantando ainda mais cedo; o PR público foi disponibilizado em 27 de fevereiro; a Aptos afirmou que nenhum usuário ou fundo foi afetado durante todo o processo.
Como foi calculado o risco sistêmico de US$ 70 bilhões avaliado pela Hexens?
De acordo com a avaliação da Hexens, os US$ 70 bilhões abrangem bridges cross-chain, sistemas de mensagens cross-chain, emissão de stablecoins e ativos acessíveis em exchanges centralizadas; a premissa é que o invasor emita grandes quantidades de USDC e os transfira para outras chains via Circle CCTP. A Circle afirmou que não congelaria ativos sem autorização legal; se as partes intervirem a tempo, a probabilidade de todo o risco se concretizar é limitada.
