Vulnerabilidade Aptos: Como Sua Velocidade Ampliou um $70B Risco

• Hexens encontrou uma falha crítica na Aptos que foi corrigida antes que qualquer fundo fosse movido.
• O bug poderia ter permitido que um invasor falsificasse ativos e os empurrasse através de pontes.
• A Aptos contesta a gravidade, mas o CTO da Polygon validou a prova de conceito.
• O caso reaviva o argumento por disjuntores on-chain em L1s rápidas.

Uma empresa de segurança revelou que a Aptos, uma das blockchains layer-1 mais rápidas, carregou uma falha crítica por meses antes de ser silenciosamente corrigida. Em 4 de julho, a Hexens tornou público um bug que havia reportado em particular para a Aptos em 25 de fevereiro, uma fraqueza no motor que executa os contratos inteligentes da chain que, por sua própria estimativa, colocou até US$ 70 bilhões de risco teórico em jogo através de pontes, stablecoins e exchanges conectadas. A Aptos Labs o corrigiu em horas após aquele primeiro relatório, e nenhum fundo de usuário foi jamais tocado. Então por que um patch de cinco meses vira notícia agora? Dois motivos. O número, obviamente. Mas também o detalhe subjacente: a coisa que a Aptos mais comercializa é velocidade bruta, e velocidade bruta é exatamente o que transforma US$ 70 bilhões de uma manchete assustadora em uma estimativa defensável. Um fanfarronice de throughput recorde, um dia após a história estourar Em 5 de julho, meras 24 horas após o relatório, a conta oficial do projeto seguiu em frente com sua atualização mensal de tokenomics programada, reportando 232.500 APT queimados nos últimos 30 dias, mais de 16 milhões de transações em um único dia para um novo recorde trimestral, e uma taxa média de US$ 0,0005 após um aumento de dez vezes na taxa, tudo sob a tagline "a pilha completa para mercados e máquinas em ação." A postagem soa muito diferente depois que você tem a divulgação da Hexens à sua frente, porque as transações quase gratuitas e o enorme throughput que a Aptos está promovendo são exatamente as mesmas propriedades que um pesquisador de segurança pesa primeiro ao calcular quanto um único bug no núcleo da chain poderia realmente custar.

Cada transação na Aptos queima $APT. Atualização do mês:

• 232,5K APT queimados nos últimos 30D
• 1,4M total de APT queimados desde mainnet
• +16M transações em um dia—novo recorde trimestral
• US$ 0,0005 taxa média de tx desde aumento de 10x na taxa

A pilha completa para mercados e máquinas em ação. pic.twitter.com/gPEuWzD1Qf

— Aptos (@Aptos) 5 de julho de 2026

O bug vivia abaixo do código que a maioria das auditorias verifica A Aptos é construída sobre Move, uma linguagem de programação projetada especificamente para tornar esse tipo de ataque difícil. Move trata tokens e outros ativos digitais como itens protegidos e verifica, no momento em que uma transação é executada, que nada está sendo tratado como o tipo errado de coisa. Essa promessa de segurança é uma grande parte do motivo pelo qual Aptos e Sui ambas apresentam Move como mais seguro que ambientes mais antigos. A falha da Hexens esgueirou-se por baixo dessa promessa em vez de quebrá-la de frente. Em termos simples, o sistema trabalhou brevemente com informações desatualizadas e acabou confundindo um tipo de item on-chain por outro. Pessoas de segurança chamam isso de "confusão de tipos", um problema antigo de software onde um programa lê algo como o tipo errado e passa direto pelas verificações destinadas a impedi-lo. Em uma blockchain, essa confusão é perigosa: um invasor poderia disfarçar um item malicioso como legítimo e enganar a rede para que interpretasse erroneamente quem possui um ativo e quem tem permissão para movê-lo. Mudit Gupta, CTO da Polygon, revisou a prova de conceito de forma independente e disse ao CoinDesk que funcionou como alegado, com a ressalva de que algumas condições precisavam estar alinhadas primeiro. Vindo do chefe de segurança de uma chain rival, isso tem mais peso do que qualquer coisa que a Aptos ou a Hexens poderiam dizer por conta própria. Por que taxas baratas e volume enorme tornam o bug pior O throughput deixa de ser uma linha de marketing aqui e começa a se comportar como um multiplicador de risco. A Hexens executou o ataque contra um cluster de mais de 30 nós validadores, configurado para espelhar a rede real, em um servidor que custou cerca de US$ 3 mil e representou aproximadamente um terço do conjunto de validadores. Funcionou 17 ou 18 vezes em 20, sem necessidade de acesso interno ou permissões especiais. Inclua os números reais e o quadro se afia. A uma fração de centavo por transação, inundar a chain com payloads maliciosos é quase gratuito. A 16 milhões de transações por dia, com blocos confirmando em segundos, um invasor que pudesse falsificar ativos precisaria apenas de uma janela curta para criá-los e movê-los antes que alguém reagisse. Velocidade é neutra. O mesmo motor que limpa volume legítimo em segundos limparia uma execução falsa de mint-e-transfer no mesmo ritmo, e os humanos que operam a rede não conseguem reagir tão rápido. Essa é a parte que a postagem de métricas de queima acidentalmente sublinhou. Dois números muito diferentes, e por que a lacuna importa Duas figuras surgiram disso, e tratá-las como uma só é como a história se distorce. A menor é cerca de US$ 250 milhões, o valor mantido em apps DeFi da Aptos que a firma independente Grego AI julgou estar em risco direto. A maior é os US$ 70 bilhões, e ela só aparece quando você segue a falha para fora através de pontes cross-chain como Wormhole e LayerZero, sistemas de stablecoin e as exchanges que negociam APT e suas versões wrapped. Pontes são o ponto fraco. Elas agrupam ativos de várias chains ao mesmo tempo, então um evento de ativo falsificado que começa na Aptos poderia, no pior caso modelado, drenar dinheiro que veio originalmente da Ethereum. Os US$ 70 bilhões são um total de pior caso construído sobre uma pilha de suposições, não dinheiro que jamais esteve ali para ser pego em um movimento limpo.

| Figura | | --- | O que representa | Fonte | | --- | --- | --- | | US$ 250M | Valor em apps DeFi da Aptos em risco direto | Grego AI | | US$ 70B | Risco sistêmico de pior caso através de pontes, stablecoins, exchanges | Hexens | | US$ 3 mil | Custo do servidor para simular aproximadamente um terço dos validadores | Hexens | | US$ 1M | Faixa máxima de pagamento de bug bounty da Aptos | Programa de bug bounty da Aptos |

A Aptos Labs não contesta o relatório em si. Confirma a notificação de 25 de fevereiro através do programa de bug bounty e diz que o problema já estava sendo trabalhado internamente. O que contesta é a gravidade, argumentando que as condições reais da rede tornaram a exploração muito mais difícil do que a configuração de teste sugeria, colocando a explorabilidade no mundo real como "extremamente baixa". Essa afirmação colide diretamente com a validação independente de Gupta, e as duas posições não foram reconciliadas em público. Há uma segunda lacuna que vale a pena destacar, e é sobre incentivos em vez de código. O bounty limita a US$ 1 milhão. Uma exploração desse tipo renderia muitos múltiplos disso no mercado negro, e a Hexens divulgou de qualquer forma, que é o objetivo inteiro de executar um bounty.

| A leitura de ameaça sistêmica | | --- | A leitura de resiliência | | --- | --- | | Uma configuração de US$ 3 mil poderia ameaçar uma layer-1 de alto nível | Corrigido em horas, sem interrupção na rede | | Um bug central sugere risco de categoria para chains Move | Aptos diz que condições reais tornaram a explorabilidade muito baixa | | Uma falha poderia alcançar ativos de ponte e stablecoin | O bounty direcionou um resultado white-hat em vez de uma venda |

O que o gráfico do APT está fazendo enquanto o debate ocorre Os traders em grande parte ignoraram isso. No gráfico Aptos/USD de 4 horas da Coinbase,** obtido via TradingView,** APT era negociado perto de US$ 0,635 em 7 de julho, mantendo-se acima de sua média móvel de 50 períodos em US$ 0,6061 e de sua linha de 100 períodos em US$ 0,6147, enquanto encontrava a média de 200 períodos em US$ 0,6410 como resistência superior. Uma média móvel é apenas o preço médio de fechamento naquelas velas, e este layout aponta para um salto real que ainda não limpou a tendência de baixa maior, aquela que arrastou APT de aproximadamente US$ 1,00 em meados de maio para cerca de US$ 0,55. O RSI, uma medida de pressão de compra que vai de 0 a 100, estava em 58,77, acima do neutro 50, mas nem perto da linha de 70 que sinaliza um mercado superaquecido. CoinMarketCap tinha APT subindo 9,91% na semana para US$ 0,6339, então a divulgação parece um peso no sentimento em vez de um gatilho para venda real. A correção que sobrevive a este ciclo de notícias Builders carregam o fardo de curto prazo. Qualquer um executando um app na Aptos tem um motivo para re-verificar como seu código lida com o tipo de caso extremo que a Hexens encontrou, e grandes investidores podem manter um prêmio de risco ligeiramente mais alto em tokens baseados em Move como APT e SUI enquanto dão outra olhada nas fundações da rede. Duas coisas, no entanto, provavelmente vão perdurar após a cobertura desaparecer. A primeira é o teto do bounty. Um limite de US$ 1 milhão parece cada vez menor ao lado do valor que deveria proteger, e projetos competindo com compradores de mercado negro podem ter pouca escolha senão aumentá-lo. A segunda é uma mudança na pergunta que os pesquisadores realmente fazem. Por anos os direitos de se gabar foram sobre quantas transações uma chain consegue empurrar. Este incidente empurra o foco para a habilidade oposta: quão rápido uma rede pode parar a si mesma. Chains rápidas cada vez mais precisam de "kill switches" automáticos que congelem transferências cross-chain no instante em que algo parece errado, porque assim que um humano percebe, as transações já foram concluídas. A Aptos está prestes a executar esse experimento em si mesma. Uma proposta para ocultar detalhes de transação até depois de confirmarem, o que tornaria front-running mais difícil, já está passando por votação da comunidade, enquanto outras atualizações buscam tempos de confirmação ainda mais rápidos. Cada uma delas adiciona velocidade e adiciona valor em jogo, a mesma combinação que a divulgação da Hexens mostrou pode transformar um único bug em um sistêmico. Se o próximo momento de segurança do Move vai ler como tranquilidade ou repetição depende de uma coisa: se essas atualizações chegam com o tipo de salvaguardas embutidas que este episódio defendeu.