Etiska hackare avslöjar Aptos VM-fel som riskerar att kosta 70 miljarder dollar

En kritisk sårbarhet i Aptos Move-VM uppdagades den här veckan efter att säkerhetsföretaget Hexens avslöjade en stale-cache-fel som kunde ha undergrävt kärnans typsäkerhetsgarantier. Felet möjliggjorde typförväxlingsattacker som kunde kringgå exekveringsbegränsningar på Move-baserade blockkedjor, och utgör därmed en systemisk risk över DeFi-protokoll, stablecoins och korskedjebryggor.

I slutet av februari rapporterade Hexens problemet genom Aptos Labs bug bounty-kanal. Forskare simulerade utnyttjandet på ett måttligt serverkluster som kostade endast 3 000 dollar, och uppnådde en framgångsgrad över 90 % under realistiska nätverksförhållanden. Beviset på konceptet visade potentialen att mynta otillåtna tillgångar och manipulera administrativa roller utan insider-åtkomst eller privilegierade nycklar.

Hexens medgrundare Vahe Karapetyan beskrev felet som liknande en Ethereum-stil lagringskorruptionssårbarhet, där skadlig kod skriver till kontraktets lagring som tillhör andra protokoll. Oberoende granskningar av Grego AI och Polygon-CTO Mudit Gupta bekräftade utnyttjandets genomförbarhet, och uppskattade att ungefär 250 miljoner dollar i Aptos-nativ TVL stod inför direkt exponering. Inkluderat korskedje- och brygglager närmade sig den totala systemrisken 70 miljarder dollar.

Aptos Labs svarade snabbt: ett akut krisrum sammankallades under SEAL911-ramverket, och en fix lanserades på mainnet inom timmar efter meddelandet. Inga medel förlorades i händelsen. Aptos-chefer betonade VM:s låga verkliga exploaterbarhet efter patchen, även om de erkände vikten av robusta infrastruktur-skydd.

Incidenten understryker det kritiska behovet av proaktiva säkerhetsrevisioner och flerskiktade försvar i blockkedjesystem. När nätverken växer blir integriteten hos smarta kontraktskörningar avgörande för att bevara on-chain-kapital. Protokollteam omvärderar nu incitamenten för bug bounty, patch-utrullningsarbetsflöden och validatoruppgraderingsmekanismer för att minimera framtida riskfönster.

Förutom Aptos väcker upptäckten debatten om korskedjesäkerhet och de potentiella dominoeffekterna av parser- och VM-sårbarheter. Branschaktörer efterlyser standardiserade testningsramverk och större samarbete mellan kärnutvecklare och oberoende granskare. Förmågan hos ett litet forskningslag att simulera en attack värd flera miljarder dollar fungerar som en varning: blockchain-infrastrukturen måste utvecklas i samma takt som hotaktiviteterna.

Framöver fokuseras på att integrera formell verifiering för Move och liknande språk, förbättra on-chain-runtime-övervakningen och etablera snabba responsprotokoll. Lärdomarna från denna sårbarhet kommer att forma säkerhetspraxis över framväxande Layer-1-ekosystem, driva en ny era av revisionsdriven utveckling och kontinuerlig riskbedömning.