Hackers éticos descobrem falhas na Aptos VM que colocam em risco 70 bilhões de dólares.

Uma vulnerabilidade crítica na máquina virtual Aptos Move (VM) surgiu nesta semana depois que pesquisadores da empresa de segurança Hexens revelaram um bug de cache desatualizado que poderia ter minado as garantias centrais de segurança de tipos. A falha permitia ataques de confusão de tipos capazes de contornar as restrições de execução em blockchains baseadas em Move, representando um risco sistêmico para protocolos DeFi, stablecoins e pontes entre cadeias.

No final de fevereiro, a Hexens comunicou o problema por meio do canal de bug bounty da Aptos Labs. Pesquisadores simularam a exploração em um modesto cluster de servidores que custava apenas US$ 3.000, atingindo uma taxa de sucesso acima de 90% sob condições reais de rede. A prova de conceito demonstrou o potencial de cunhar ativos não autorizados e manipular funções administrativas sem acesso interno ou chaves privilegiadas.

O cofundador da Hexens, Vahe Karapetyan, descreveu o bug como análogo a uma vulnerabilidade de corrupção de armazenamento no estilo Ethereum, onde código malicioso grava no armazenamento de contratos pertencente a outros protocolos. Avaliações independentes da Grego AI e do CTO da Polygon, Mudit Gupta, confirmaram a praticidade da exploração, estimando que aproximadamente US$ 250 milhões em TVL nativa da Aptos enfrentavam exposição direta. Incluindo camadas entre cadeias e pontes, o risco sistêmico total chegou a quase US$ 70 bilhões.

Aptos Labs respondeu com rapidez: um gabinete de crise foi convocado sob o framework SEAL911, e uma correção foi publicada na mainnet dentro de horas após a notificação. Nenhum fundo foi perdido no incidente. Executivos da Aptos enfatizaram a baixa explorabilidade prática da VM após o patch, embora tenham reconhecido a importância de salvaguardas robustas da infraestrutura.

O episódio ressalta a necessidade crítica de auditorias de segurança proativas e defesas em camadas em sistemas de blockchain. À medida que as redes escalam, a integridade dos runtimes de contratos inteligentes torna-se essencial para preservar o capital on-chain. Equipes de protocolo estão reavaliando incentivos de bug bounty, fluxos de implantação de patches e mecanismos de atualização de validadores para minimizar futuras janelas de risco.

Além da Aptos, a descoberta reacende o debate sobre segurança entre cadeias e os potenciais efeitos dominó de vulnerabilidades de parser e da VM. As partes interessadas da indústria estão pedindo estruturas de testes padronizadas e maior colaboração entre desenvolvedores centrais e auditores independentes. A capacidade de uma pequena equipe de pesquisa simular um ataque de vários bilhões de dólares serve como um aviso: a infraestrutura de blockchain deve evoluir no mesmo ritmo que as capacidades de ameaça.

Olhando para o futuro, o foco passa a integrar verificação formal para Move e linguagens similares, aprimorar o monitoramento de runtime on-chain e estabelecer protocolos de resposta rápida. As lições desta vulnerabilidade moldarão as práticas de segurança em ecossistemas emergentes de camada-1, impulsionando uma nova era de desenvolvimento orientado por auditorias e avaliação contínua de riscos.