¡Menos mal! Empresa de seguridad descubre vulnerabilidad en Aptos: 700 mil millones de dólares en criptomonedas en riesgo sistémico.

Los hackers de sombrero blanco de la empresa de ciberseguridad Hexens descubrieron una vulnerabilidad de confusión de tipos en la máquina virtual Move de la cadena de bloques Aptos, con una tasa de éxito de ataque cercana al 90%. Hexens estima que, si se explota maliciosamente, el riesgo sistémico que involucra puentes entre cadenas, emisión de stablecoins y exchanges podría alcanzar los 700 mil millones de dólares. (Resumen anterior: El Director Jurídico de Grayscale, Craig Salm, afirmó que es poco probable que la vulnerabilidad de Zcash sea explotada antes de que se repare) (Contexto adicional: Hackers de sombrero blanco revelaron una vulnerabilidad de día cero oculta en Cosmos. El reinicio de nodos podría causar un bloqueo total, pero el oficial trató el informe como spam) Índice

Alternar

• Servidor de 3,000 dólares, 18 de 20 simulaciones exitosas
• SEAL911 respondió durante la noche, parcheó rápidamente en 48 horas
• ¿"Casi imposible de explotar"? Verificación de terceros contradice la versión oficial
• De 250 millones a 700 mil millones de dólares: La ampliación gradual de la estimación de riesgos

Un servidor que cuesta menos de 3,000 dólares de configuración, junto con un equipo de hackers de sombrero blanco, ¿es suficiente para exponer a riesgos activos criptográficos valorados en 700 mil millones de dólares? Esta es la conclusión de un ataque simulado realizado por la empresa de seguridad Hexens en la cadena de bloques Aptos. Los investigadores reprodujeron el ataque en condiciones cercanas a las reales de la red principal, con una tasa de éxito cercana al 90%.

El CTO de Hexens, Vahe Karapetyan, fue el descubridor de esta vulnerabilidad. Este problema oculto en la máquina virtual Move de Aptos (el entorno central responsable de ejecutar contratos inteligentes) fue denominado por Hexens como "vulnerabilidad de caché obsoleto (stale-cache bug)", lo que provoca "confusión de tipos (type confusion)". En términos simples, el software se engaña confundiendo un tipo de recurso en cadena con otro. Comparado con la arquitectura de Ethereum, equivale a permitir que el código controlado por el atacante escriba directamente en el espacio de almacenamiento de otros contratos, eludiendo por completo las garantías de seguridad de tipos que el lenguaje Move pretendía mantener.

Servidor de 3,000 dólares, 18 de 20 simulaciones exitosas

El equipo de Karapetyan, para verificar la viabilidad real de la vulnerabilidad, construyó un entorno de simulación cercano a la escala de la red principal: más de 30 nodos validadores, una distribución de staking cercana a la real de la red principal, junto con tráfico de transacciones real y alta competencia de ejecución. El costo de configurar todo este entorno fue de solo unos 3,000 dólares; si se lanzara un ataque real, el costo sería aún menor, y no se necesitarían permisos de validador, conocimiento interno ni ningún acceso privilegiado. El equipo realizó alrededor de 20 pruebas en el entorno simulado, con éxito en 17 o 18 ocasiones, lo que se traduce en una tasa de éxito cercana al 90%. Incluso si ocasionalmente fallan 2 o 3 veces, la red no se detendría por ello, y el atacante podría esperar pacientemente la próxima ventana para actuar nuevamente.

SEAL911 respondió durante la noche, parcheó rápidamente en 48 horas

Hexens informó formalmente la vulnerabilidad el 25 de febrero de 2026 a través del programa de bug bounty de Aptos. Aptos indicó que, al recibir el informe, el equipo interno ya estaba manejando el problema por separado. Ese mismo día, el equipo de respuesta de emergencia voluntaria de la industria cripto "SEAL911" abrió una sala de operaciones. Este equipo se ha convertido en los últimos años en una capa de respuesta de primera línea clave cuando el ecosistema cripto enfrenta vulnerabilidades importantes. En cuestión de horas, Aptos notificó a los proveedores afectados, y esa misma tarde informó adicionalmente a 4 proyectos principales aguas abajo, adjuntando una prueba de concepto (PoC) ejecutable localmente. Para el 27 de febrero, ya se había publicado un pull request de parche público; Aptos enfatizó que, antes de hacer público el commit, el equipo ya había implementado el parche en los validadores privados. Aptos oficial declaró a CoinDesk: "Cuando recibimos el informe el 25 de febrero a través del bug bounty, internamente ya se estaba manejando por separado. El parche se desarrolló, probó y desplegó en la red principal en cuestión de horas después del descubrimiento, sin que ningún usuario o fondo resultara afectado en todo el proceso."

¿"Casi imposible de explotar"? Verificación de terceros contradice la versión oficial

Sin embargo, hay una clara discrepancia entre la postura pública de Aptos y la evaluación de Hexens. Aptos dijo a CoinDesk: "Nuestro análisis considera que esta vulnerabilidad tiene una explotabilidad extremadamente baja en condiciones del mundo real". Hexens respondió que hasta ahora no ha recibido ninguna refutación técnica basada en evidencia, y la única preocupación planteada por los oficiales fue el componente probabilístico inherente a la vulnerabilidad, que es precisamente lo que la técnica de "calibración desarmada" pretende resolver. Pero los resultados de la verificación de terceros parecen inclinarse más hacia Hexens. El CTO de Polygon, Mudit Gupta, tras revisar de forma independiente la prueba de concepto, declaró: "Funciona como se afirma, la vulnerabilidad tiene sentido... se necesitan cumplir algunas condiciones, parece que efectivamente lo lograron en la red principal". Otra institución que verificó de forma independiente el PoC de Hexens, Grego AI, señaló que esta vulnerabilidad es suficiente para robar capacidades de múltiples protocolos, incluidos LayerZero, Wormhole y el protocolo de puente entre cadenas USDC, CCTP. El CEO de Grego AI, Justus Hanna, afirmó directamente: "Si un actor malicioso obtiene esta vulnerabilidad, podría llevarse cualquier valor total bloqueado (TVL) que desee".

De 250 millones a 700 mil millones de dólares: La ampliación gradual de la estimación de riesgos

Hexens estima que la exposición directa en la cadena Aptos, que involucra protocolos de primera capa de DeFi, activos tokenizados, infraestructura de stablecoins y staking líquido, es del orden de "decenas de miles de millones de dólares"; Grego AI, por su parte, calcula que alrededor de 250 millones de dólares en valor total bloqueado nativo de Aptos están directamente amenazados, según la tasa de éxito de casi el 90%, sin incluir la exposición entre cadenas. Si se amplía la perspectiva al riesgo sistémico más amplio, la cifra dada por Hexens es de 700 mil millones de dólares, abarcando puentes entre cadenas, sistemas de mensajería entre cadenas, procesos de gestión de emisión de stablecoins y el valor de los activos accesibles a través de exchanges centralizados. Esta sorprendente cifra se basa en la premisa de que el atacante emita una gran cantidad de USDC y luego transfiera los activos a otras cadenas a través del protocolo de transferencia entre cadenas de Circle (CCTP). Pero Circle ha declarado recientemente que no congelará activos sin autorización legal. En otras palabras, una vez que las partes intervengan a tiempo, la probabilidad de que los 700 mil millones de dólares se materialicen por completo es baja, pero esta cifra sigue siendo suficiente para mostrar lo alarmante de la magnitud del problema. Es notable que en el lenguaje Move, los permisos clave de protocolo como acuñar stablecoins, controlar puentes entre cadenas y gestionar mercados de préstamos a menudo se almacenan como "recursos en cadena". Una vez que estos roles son comprometidos, el daño no se limita a un solo protocolo, sino que se propaga a lo largo de la cadena de confianza a todos los sistemas que dependen de él. El equipo de Hexens, en sus pruebas, incluso llegó a tomar el control de un rol similar al de "master minter (acuñador principal)" y operó siguiendo la ruta de gestión legítima. Aunque finalmente se detuvieron antes de acuñar realmente, esto ya es suficiente para demostrar que estos roles deben incluirse en un modelo de amenazas completo. Los investigadores creen que la principal vía hacia una exposición más amplia son los exchanges centralizados, especialmente las rutas de puente de Aptos que conectan la actividad en cadena con el registro de depósitos de los exchanges.