Этичные хакеры обнаружили уязвимость в Aptos VM, которая может привести к потере 70 миллиардов долларов.

Критическая уязвимость в виртуальной машине Aptos Move (VM) всплыла на этой неделе после того, как исследователи из компании по кибербезопасности Hexens обнаружили баг устаревшего кэша, который мог подорвать базовые гарантии типобезопасности. Эта ошибка позволяла атакам путаницы типов, способным обходить ограничения выполнения на блокчейнах на базе Move, создавая системный риск для протоколов DeFi, стейблкоинов и мостов между цепями.

В конце февраля Hexens сообщил об этой проблеме через канал вознаграждений за баги Aptos Labs. Исследователи смоделировали эксплуатацию на скромном серверном кластере стоимостью всего 3 000 долларов, достигнув коэффициента успешности выше 90% в условиях реальной сети. Демонстрационный PoC продемонстрировал потенциал эмитирования несанкционированных активов и манипулирования административными ролями без инсайдерского доступа или привилегированных ключей.

Соучредитель Hexens Вахе Карапетян описал баг как аналог уязвимости по типу хранения в Ethereum, когда вредоносный код записывает в хранилище контракта, принадлежащее другим протоколам. Независимые обзоры Grego AI и технического директора Polygon Мудита Гупты подтвердили практичность эксплуатации, оценивая, что примерно 250 миллионов долларов в TVL Aptos-native подверглись прямому риску. Включая кросс‑цепочочные и мостовые слои, совокупный системный риск приблизился к 70 миллиардам долларов.

Aptos Labs оперативно отреагировала: в рамках программы SEAL911 было созвано чрезвычайное оперативное совещание, и исправление было внедрено в основную сеть в течение часов после уведомления. В инциденте средства не были потеряны. Руководители Aptos подчеркнули низкую реальную вероятность эксплуатации VM после патча, хотя они и признали важность прочной инфраструктурной защиты.

Этот эпизод подчёркивает критическую необходимость проактивных аудитов безопасности и многоуровневой защиты в системах блокчейна. По мере роста сетей целостность сред выполнения смарт-контрактов становится решающей для сохранения капитала в блокчейне. Команды протоколов сейчас пересматривают стимулы за баг-баунти, процессы развёртывания патчей и механизмы обновления валидаторов, чтобы минимизировать будущие окна рисков.

Помимо Aptos, открытие вновь разжигает дискуссию о кросс‑цепочечной безопасности и возможных domino‑эффектах уязвимостей парсера и VM. Заинтересованные стороны отрасли призывают к стандартизированным рамкам тестирования и к большему сотрудничеству между ядро-разработчиками и независимыми аудиторами. Способность небольшой исследовательской команды моделировать атаку на миллиарды долларов служит предупреждением: инфраструктура блокчейна должна развиваться в той же скорости, что и угрозы.

Смотря вперёд, внимание будет сосредоточено на внедрении формальной верификации для Move и аналогичных языков, усилении мониторинга выполнения на цепочке и создании протоколов оперативного реагирования. Уроки из этой уязвимости сформируют практики безопасности для развивающихся экосистем уровня 1 и вдохнут новую эру разработки, ориентированной на аудит, и непрерывную оценку рисков.