セキュリティ企業が、高速なレイヤー1ブロックチェーンの一つであるAptosが、こっそり修正されるまで数か月間重大な欠陥を抱えていたことを明らかにしました。7月4日、Hexensは、2月25日にAptosへ非公開で報告していたバグを公表しました。それは、チェーンのスマートコントラクトを動かすエンジンの弱点で、同社の推定によれば、ブリッジ、ステーブルコイン、接続された取引所にまたがって理論上のリスクとして最大700億ドルが「起こり得る」状態になっていました。Aptos Labsは最初の報告から数時間以内に修正しており、ユーザーの資金が触れられることは一度もありませんでした。
ではなぜ、5か月前のパッチが今になってニュースになるのでしょうか。理由は2つあります。もちろん数字です。しかしその下にある詳細――Aptosが最も強く売り込んでいるのは「生のスピード」であり、生のスピードこそが700億ドルを、単なる不安をあおる見出しから、擁護可能な見積もりへと変えてしまうからです。
物語が報じられた翌日に出た「記録的なスループット自慢」
7月5日、報告からわずか24時間足らずで、プロジェクトの公式アカウントは予定されていた月次のトークノミクス更新をそのまま実行しました。過去30日で232,500APTがバーンされたこと、1日で1,600万件超の取引が発生し四半期最高を更新したこと、10倍の手数料増加後の平均手数料が$0.0005であること、そしてタグライン「the full stack for markets and machines at work」が添えられています。Hexensの開示を目の前に置くと、その投稿の意味合いはかなり変わります。なぜなら、Aptosが推している「ほぼ無料の取引」と「巨大なスループット」こそ、セキュリティ研究者が、チェーンの中核にある単一のバグが実際にどれだけの損害を生み得るかを計算する際に最初に重視する性質だからです。
Aptosの脆弱性：その速さが$70B リスクを拡大した方法
セキュリティ企業が、高速なレイヤー1ブロックチェーンの一つであるAptosが、こっそり修正されるまで数か月間重大な欠陥を抱えていたことを明らかにしました。7月4日、Hexensは、2月25日にAptosへ非公開で報告していたバグを公表しました。それは、チェーンのスマートコントラクトを動かすエンジンの弱点で、同社の推定によれば、ブリッジ、ステーブルコイン、接続された取引所にまたがって理論上のリスクとして最大700億ドルが「起こり得る」状態になっていました。Aptos Labsは最初の報告から数時間以内に修正しており、ユーザーの資金が触れられることは一度もありませんでした。 ではなぜ、5か月前のパッチが今になってニュースになるのでしょうか。理由は2つあります。もちろん数字です。しかしその下にある詳細――Aptosが最も強く売り込んでいるのは「生のスピード」であり、生のスピードこそが700億ドルを、単なる不安をあおる見出しから、擁護可能な見積もりへと変えてしまうからです。 物語が報じられた翌日に出た「記録的なスループット自慢」 7月5日、報告からわずか24時間足らずで、プロジェクトの公式アカウントは予定されていた月次のトークノミクス更新をそのまま実行しました。過去30日で232,500APTがバーンされたこと、1日で1,600万件超の取引が発生し四半期最高を更新したこと、10倍の手数料増加後の平均手数料が$0.0005であること、そしてタグライン「the full stack for markets and machines at work」が添えられています。Hexensの開示を目の前に置くと、その投稿の意味合いはかなり変わります。なぜなら、Aptosが推している「ほぼ無料の取引」と「巨大なスループット」こそ、セキュリティ研究者が、チェーンの中核にある単一のバグが実際にどれだけの損害を生み得るかを計算する際に最初に重視する性質だからです。
Aptos上のあらゆる取引は $APT をバーンします。新しい月次アップデート：
• 過去30Dで232.5K APT バーン
• メインネット以降の総計1.4M APT バーン
• 1日あたり+16M取引――新しい四半期最高
• 10倍の手数料増加後の平均tx fee $0.0005
the full stack for markets and machines at work. pic.twitter.com/gPEuWzD1Qf
— Aptos (@Aptos) July 5, 2026
そのバグは、ほとんどの監査が見るコードの下にあった Aptosは、こうした攻撃を困難にすることを目的として設計されたプログラミング言語Moveの上に構築されています。Moveは、トークンやその他のデジタル資産を「保護されたアイテム」として扱い、トランザクションが実行されるその時点で、間違った種類のものとして処理されていないことを確認します。この安全性の約束が、AptosとSuiの両方がMoveを古い環境より安全だと売り込む大きな理由の一つです。 しかしHexensの欠陥は、その約束を正面から壊すのではなく、その下をすり抜けました。簡単に言うと、システムは一時的に古い情報から動き、その結果、ある種のオンチェーン・アイテムを別のものだと誤認した、ということです。セキュリティの専門家はこれを「型の混同（type confusion）」と呼びます。これは、プログラムがあるものを「誤った型」として読み取り、そもそもそれを止めるためのチェックを素通りしてしまう、古いソフトウェアの問題です。ブロックチェーンでは、この取り違えは危険です。攻撃者は悪意あるアイテムを正当なものに見せかけ、ネットワークに対し、誰が資産を所有し、誰がそれを移動してよいのかを誤読させることができます。 PolygonのCTOであるMudit Guptaは、プルーフ・オブ・コンセプトを独自にレビューし、CoinDeskに対して「主張どおりに動作した」と語りましたが、最初にいくつか条件が揃う必要がある、という但し書きがありました。同じくセキュリティ責任者としては別チェーンの立場からの検証であることは、AptosやHexensが自分たちで言えることよりも重みを持ちます。 安い手数料と大量取引が、なぜバグをさらに悪化させるのか ここではスループットが単なるマーケティング文句ではなく、リスク増幅器のように振る舞い始めます。Hexensは、実ネットワークをミラーするように設定された30以上のバリデータノードのクラスターに対してこの攻撃を実行しました。サーバー機材の費用は約$3,000で、バリデータ集合の約3分の1の代役を務めています。攻撃は20回中17回か18回成功し、インサイダーアクセスも特別な権限も不要でした。 実データを織り込むと、見取り図が鮮明になります。1トランザクションあたり数セント未満であるため、チェーンに悪意あるペイロードを大量に流し込むのはほぼタダ同然です。1日1,600万トランザクションで、ブロック確認が数秒単位なら、資産を偽造できる攻撃者は、誰かが反応するまでの短い時間枠に、その偽造したものを作って持ち出せば済みます。スピードは中立ではありません。正当な取引量を数秒でさばくのと同じエンジンが、偽の「鋳造して送る」処理も同じ速さで処理してしまい、人間がネットワークの異常に気づく頃には、トランザクションはすでに通過しているのです。 それが、バーン指標の投稿が（意図せず）強調してしまった部分です。 まったく違う2つの数字、そしてその差が重要な理由 この件から出てきた数字は2つあり、それを一つとして扱うことこそが、物語を歪めます。小さいほうは約2.5億ドルで、独立系企業Grego AIが「直接のリスクがある」と判断したAptos DeFiアプリにおける価値です。大きいほうは700億ドルで、欠陥をワームホールやLayerZeroのようなクロスチェーン・ブリッジ、ステーブルコインの仕組み、そしてAPTやそのラップ版を取引する取引所を通じて外側へ追っていくことで初めて見えてきます。 ブリッジが弱点になりやすいのです。ブリッジは複数チェーンから資産を束ねるため、Aptosから始まる偽造資産の事象は、最悪のモデルケースでは、元々はEthereumから来ていた資金を吸い上げかねません。700億ドルは「最悪ケース」の総計であり、そこに握っている現金のようなものではなく、前提の積み上げによって作られる見積もりです。 | 図表 | | --- | 内容 | 出典 | | --- | --- | | $250M | Aptos DeFiアプリにおける直接リスクの価値 | Grego AI | | $70B | ブリッジ、ステーブルコイン、取引所にまたがる最悪のシステミックリスク | Hexens | | $3,000 | バリデータの約3分の1を模擬するためのサーバー費用 | Hexens | | $1M | 最大のAptosバグバウンティ支払いティア | Aptosのバグバウンティプログラム |
Aptos Labsは、報告そのものは否定していません。2月25日の通知をバグバウンティプログラムを通じて確認し、この問題は社内でもすでに取り組まれていると述べています。争っているのは深刻度であり、実際のネットワーク状況のほうが、テストのセットアップが示唆するよりもエクスプロイトがはるかに難しいのだとして、「実世界で悪用可能性は極めて低い」と主張しています。この主張は、Guptaの独立検証と正面からぶつかっており、両者の立場は公の場で和解されていません。 もう一つ、指摘する価値のあるギャップがあります。それはコードではなくインセンティブについてです。バウンティの上限は$1 millionです。この種のエクスプロイトは闇市場ではそれの何倍も手に入る可能性があり、Hexensがそれでも開示したのは、まさにバウンティを走らせることの意味そのものです。
| システミック脅威の見立て | | --- | レジリエンス（耐性）の見立て | | --- | | $3,000のセットアップでもトップクラスのレイヤー1を脅かし得る | 数時間で修正、ネットワークの混乱なし | | コアのバグはMoveチェーンのカテゴリリスクを示唆 | Aptosは実際の条件により悪用可能性が非常に低いと主張 | | ひとつの欠陥がブリッジとステーブルコイン資産に到達し得る | バウンティがホワイトハットの結果を、売却より導いた | 何が起きているか：議論が続く間のAPTチャート トレーダーの多くは、この件をほぼ気にしていないようです。Coinbaseの4時間足のAptos/USDチャートで、TradingView経由で、APTは7月7日に$0.635前後で取引され、50期間移動平均の$0.6061より上、100期間線の$0.6147より上を維持しながら、上方のレジスタンスとして200期間平均$0.6410にぶつかっていました。移動平均とは、単にその本数分のローソク足の終値平均にすぎず、この配置は、「大きな下落トレンド」をまだ突破できていないものの、実際の反発が起きていることを示しています。この下落トレンドは、APTを5月中旬の約$1.00から約$0.55まで引きずっていったものです。
RSI（買い圧力を0〜100で示す指標）は58.77で、中立の50を上回ってはいるものの、過熱市場を示す70ラインにはほど遠い状態でした。CoinMarketCapでは週次でAPTが9.91%上昇し$0.6339ですので、この開示は「実際の売り」を引き金にするというより、センチメントに重みを加えるものに見えます。
このニュースサイクルを超えて残る修正
ビルダーたちは当面の負荷を担います。Aptos上でアプリを運用している人は、Hexensが見つけたような種類のイレギュラー（想定外）ケースに対して、自分のコードがどう処理するかを改めて確認する理由があります。また大口投資家は、ネットワークの基盤をもう一度見直す間、APTやSUIのようなMoveベースのトークンに対して、わずかに高めのリスクプレミアムを維持する可能性があります。
ただし、報道が薄れても残りそうなものは2つあります。1つ目はバウンティの上限です。$1 millionという上限は、守るべき価値に比べてますます小さく見えてきます。ブラック市場の買い手と競合するプロジェクトは、これを引き上げる選択肢がほとんどないかもしれません。2つ目は、研究者が実際に問うべき問いが変わることです。長年、自慢の権利は「チェーンがどれだけの取引を押し通せるか」にありました。しかし今回の件は、逆のスキル、つまり「ネットワークがどれだけ速く自分自身を止められるか」へと焦点を押し寄せています。高速チェーンは、ますます自動の「キルスイッチ」を必要としています。何かおかしいと見えた瞬間にクロスチェーンの移転を凍結しなければなりません。人間が気づく頃には、取引はすでに通ってしまっているからです。
Aptosは、自分自身でその実験をもうすぐ行います。トランザクションの詳細は確認が済むまで隠すようにする提案（フロントランニングを難しくするもの）は、すでにコミュニティの投票手続きの中を進んでいます。一方で、他のアップグレードはさらに速い確認時間を追いかけています。これらの一つひとつはスピードを増し、賭けられている価値も増やします――Hexensの開示が示したのと同じ組み合わせで、単一のバグがシステミックなものに変わり得るのです。Moveの次のセキュリティの節目が「安心材料」として読まれるか、「再びの繰り返し」になるかは、結局のところ一つのことにかかっています――このエピソードが示したのと同様の、組み込みのセーフガードと一緒にこれらのアップグレードが出荷されるかどうかです.a