แฮ็กเกอร์ที่มีจริยธรรมค้นพบข้อบกพร่องใน Aptos VM ซึ่งเสี่ยงต่อมูลค่า 70 พันล้านดอลลาร์

ช่องโหว่ร้ายแรงในเครื่องเสมือน Move ของ Aptos (VM) ปรากฏขึ้นในสัปดาห์นี้หลังจากนักวิจัยจากบริษัทความมั่นคง Hexens เปิดเผยบั๊กแคชที่ล้าสมัยซึ่งอาจทำลายการรับประกันความปลอดภัยของชนิดข้อมูลหลัก ช่องโหว่นี้ทำให้เกิดการโจมตีแบบสับสนชนิดข้อมูลที่สามารถข้ามข้อจำกัดในการดำเนินการบนบล็อกเชนที่สร้างบน Move ได้ ซึ่งเป็นความเสี่ยงระดับระบบต่อโปรโตคอล DeFi, สกุลเงินดิจิทัลที่มีมูลค่าเสถียร (stablecoins) และสะพานข้ามสายโซ่ ในช่วงปลายกุมภาพันธ์ Hexens รายงานปัญหาผ่านช่องแจกรางวัลบั๊กของ Aptos Labs นักวิจัยจำลองการโจมตีบนคลัสเตอร์เซิร์ฟเวอร์ขนาดเล็กที่มีค่าใช้จ่ายเพียง 3,000 ดอลลาร์ โดยมีอัตราความสำเร็จมากกว่า 90% ภายใต้สภาพเครือข่ายจริง แนวคิดนี้แสดงให้เห็นถึงศักยภาพในการสร้างสินทรัพย์ที่ไม่ได้รับอนุญาตและการควบคุมบทบาทผู้ดูแลระบบโดยไม่มีการเข้าถึงจากภายในหรือกุญแจที่มีสิทธิพิเศษ ผู้ร่วมก่อตั้ง Hexens Vahe Karapetyan อธิบายบั๊กนี้ว่าเป็นกรณีที่คล้ายกับช่องโหว่การทุจริตการเก็บข้อมูลสไตล์ Ethereum ที่โค้ดประสงค์ร้ายเขียนลงในสตอเรจของสัญญาที่เป็นของโปรโตคอลอื่น การทบทวนโดย Grego AI และ CTO ของ Polygon Mudit Gupta ยืนยันความเป็นไปได้ของการโจมตี โดยคาดการณ์ว่าประมาณ 250 ล้านดอลลาร์ใน Aptos-native TVL ถูกเปิดเผยโดยตรง เมื่อรวมกับชั้น cross-chain และบริดจ์ ความเสี่ยงระดับระบบทั้งหมดใกล้เคียง 70 พันล้านดอลลาร์ Aptos Labs ตอบสนองอย่างรวดเร็ว: มีการประชุมห้องสงครามฉุกเฉินภายใต้กรอบ SEAL911 และแพตช์ได้เผยแพร่บน mainnet ภายในไม่กี่ชั่วโมงหลังการแจ้งเตือน ไม่มีเงินทุนถูกขโมยในการเกิดเหตุ ผู้บริหาร Aptos เน้นย้ำถึงความเสี่ยงจริงของ VM หลังแพตช์ที่ต่ำลง แต่ยอมรับความสำคัญของมาตรการป้องกันโครงสร้างพื้นฐานที่แข็งแกร่ง เหตุการณ์นี้ย้ำถึงความจำเป็นในการตรวจสอบความมั่นคงเชิงรุกและการป้องกันหลายชั้นในระบบบล็อกเชน เมื่อเครือข่ายขยายตัว ความสมบูรณ์ของรันไทม์สัญญาอัจฉริยะจึงมีความสำคัญสูงต่อการรักษาทุนบนเชน ทีมโปรโตคอลกำลังประเมินใหม่แรงจูงใจในการแจกรางวัลบั๊ก กระบวนการนำแพตช์ไปใช้งาน และกลไกการอัปเกรดผู้ตรวจสอบ เพื่อให้ลดช่วงเวลาความเสี่ยงในอนาคต นอก Aptos การค้นพบนี้จุดชนวนการอภิปรายเกี่ยวกับความปลอดภัยข้ามสายโซ่และผลกระทบโดมิโนที่อาจเกิดจากช่องโหว่ของ parser และ VM ผู้มีส่วนได้ส่วนเสียในอุตสาหกรรมเรียกร้องกรอบการทดสอบที่เป็นมาตรฐานและความร่วมมือที่มากขึ้นระหว่างนักพัฒนาหลักและผู้ตรวจสอบอิสระ ความสามารถของทีมวิจัยขนาดเล็กในการจำลองการโจมตีมูลค่าหลายพันล้านดอลลาร์เป็นสัญญาณเตือน: โครงสร้างพื้นฐานบล็อกเชนต้องพัฒนาควบคู่กับศักยภาพภัยคุกคาม ในอนาคต ความสนใจจะมุ่งสู่การบูรณาการการพิสูจน์เชิงรูปแบบสำหรับ Move และภาษาอื่นที่คล้ายกัน ปรับปรุงการติดตามรันไทม์บนเชน และสถาปนาขั้นตอนการตอบสนองอย่างรวดเร็ว บทเรียนจากช่องโหว่นี้จะกำหนดแนวทางการปฏิบัติด้านความปลอดภัยในระบบนิเวศ Layer-1 ที่กำลังเกิดขึ้น ขับเคลื่อนยุคใหม่ของการพัฒนาที่ขับเคลื่อนด้วยการตรวจสอบและการประเมินความเสี่ยงอย่างต่อเนื่อง