Vulnerabilidade na Aptos: como sua velocidade ampliou um $70B risco

• Hexens encontrou uma falha crítica na Aptos que foi corrigida antes que qualquer recurso fosse movido.
• O bug poderia ter permitido que um atacante forjasse ativos e os empurrasse por meio de bridges.
• A Aptos contesta a gravidade, mas o CTO da Polygon validou o proof-of-concept.
• O caso reacende o argumento por circuit breakers on-chain em L1s rápidas.

Uma empresa de segurança revelou que a Aptos, uma das blockchains de layer-1 mais rápidas, carregou uma falha crítica por meses antes de ser corrigida discretamente. Em 4 de julho, a Hexens tornou público um bug que havia reportado em particular para a Aptos em 25 de fevereiro, uma fraqueza no motor que roda os smart contracts da cadeia e que, segundo sua própria estimativa, colocou até US$ 70 bilhões de risco teórico em jogo em bridges, stablecoins e exchanges conectadas. A Aptos Labs corrigiu isso em poucas horas após o primeiro reporte, e nenhum fundo de usuário foi tocado. Então por que um patch de cinco meses atrás virou notícia agora? Dois motivos. O número, obviamente. Mas também o detalhe por baixo dele: o que a Aptos mais vende é velocidade “crua”, e é exatamente essa velocidade “crua” que transforma US$ 70 bilhões de um susto de manchete em uma estimativa defensável. Um bordão de recorde de throughput, um dia depois da história estourar Em 5 de julho, pouco mais de 24 horas após o reporte, a conta oficial do projeto avançou com seu atualização mensal agendada de tokenomics, reportando 232.500 APT queimados nos últimos 30 dias, mais de 16 milhões de transações em um único dia para uma nova máxima trimestral, e uma taxa média de US$ 0,0005 após um aumento de taxa de 10x, tudo sob a tagline “the full stack for markets and machines at work”. A postagem fica muito diferente quando você tem a revelação da Hexens na sua frente, porque as transações quase gratuitas e o enorme throughput que a Aptos está promovendo são exatamente as mesmas propriedades que um pesquisador de segurança pesa primeiro ao calcular quanto um único bug no núcleo da cadeia poderia custar de fato.

Cada transação na Aptos queima $APT. Nova atualização do mês:

• 232,5K APT queimados nos últimos 30D
• 1,4M total de APT queimados desde o mainnet
• +16M transações em um dia—a nova máxima trimestral
• $0,0005 taxa média de transação desde o aumento 10x

The full stack for markets and machines at work. pic.twitter.com/gPEuWzD1Qf

— Aptos (@Aptos) July 5, 2026

O bug ficou abaixo do código que a maioria das auditorias verifica A Aptos foi construída em Move, uma linguagem de programação desenhada especificamente para tornar esse tipo de ataque difícil. O Move trata tokens e outros ativos digitais como itens protegidos e verifica, no momento em que uma transação roda, que nada esteja sendo manuseado como o tipo errado de coisa. Essa promessa de segurança é uma grande parte do porquê a Aptos e a Sui também vendem o Move como mais seguro do que ambientes antigos. A falha da Hexens escapou dessa promessa em vez de quebrá-la de frente. Em termos simples, o sistema funcionou por um breve período com informações desatualizadas e acabou confundindo um tipo de item on-chain com outro. Pessoas de segurança chamam isso de “type confusion”, um problema antigo de software em que um programa lê algo como o tipo errado e passa direto pelos checks feitos para impedir isso. Em uma blockchain, essa confusão é perigosa: um atacante poderia disfarçar um item malicioso como se fosse legítimo e enganar a rede a interpretar errado quem é o dono de um ativo e quem tem permissão para movê-lo. O CTO da Polygon, Mudit Gupta, revisou o proof-of-concept independentemente e disse à CoinDesk que rodou como afirmado, com a ressalva de que algumas condições precisavam se alinhar primeiro. Vindo do chefe de segurança de uma cadeia rival, isso pesa mais do que qualquer coisa que a Aptos ou a Hexens poderiam dizer por conta própria. Por que taxas baratas e volume gigante pioram o bug Aqui, o throughput deixa de ser apenas linha de marketing e começa a se comportar como um multiplicador de risco. A Hexens executou o ataque contra um cluster com mais de 30 nós validadores, configurado para espelhar a rede real, em um setup de servidor que custou cerca de US$ 3.000 e representou aproximadamente um terço do conjunto de validadores. Funcionou 17 ou 18 vezes em 20, sem acesso interno ou permissões especiais exigidas. Some as métricas em tempo real e o quadro fica mais nítido. Por uma fração de centavo por transação, inundar a cadeia com payloads maliciosos fica praticamente “de graça”. Com 16 milhões de transações por dia, com blocos confirmando em segundos, um atacante que pudesse forjar ativos precisaria apenas de uma janela curta para criá-los e movê-los para fora antes que alguém reagisse. Velocidade é neutra. O mesmo motor que processa o volume legítimo em segundos também processaria, no mesmo ritmo, uma execução falsa de mint-e-transfer e os humanos operando a rede não conseguem reagir tão rápido. É exatamente essa parte que o post de métricas de queima acabou sublinhando sem querer. Dois números bem diferentes e por que a diferença importa Dois valores saíram disso, e tratá-los como um só é como a história fica distorcida. O menor é em torno de US$ 250 milhões, o valor mantido em apps de DeFi da Aptos que a consultoria independente Grego AI avaliou como em risco direto. O maior é o US$ 70 bilhões, e ele só aparece quando você segue a falha para fora, através de bridges entre cadeias como Wormhole e LayerZero, sistemas de stablecoin e as exchanges que negociam APT e suas versões tokenizadas. Bridges são o ponto fraco. Elas agrupam ativos de várias cadeias ao mesmo tempo, então um evento de ativo forjado que comece na Aptos poderia, no pior cenário modelado, drenar dinheiro que originalmente veio da Ethereum. Os US$ 70 bilhões são um total de pior caso construído sobre uma pilha de premissas, não um caixa que estivesse ali para ser apanhado em um movimento limpo.

| Figure | | --- | What it represents | Source | | --- | --- | --- | | $250M | Valor em apps de DeFi da Aptos em risco direto | Grego AI | | $70B | Maior risco sistêmico em bridges, stablecoins, exchanges | Hexens | | $3,000 | Custo do servidor para simular aproximadamente um terço dos validadores | Hexens | | $1M | Maior faixa de prêmio do bug bounty da Aptos | Programa de bug bounty da Aptos |

A Aptos Labs não contesta o relatório em si. Ela confirma a notificação de 25 de fevereiro via o programa de bug bounty e diz que o problema já estava sendo tratado internamente. O que ela contesta é a severidade, argumentando que as condições reais de rede tornaram o exploit muito mais difícil de executar do que o setup de teste implicava, e colocando a capacidade de exploração no mundo real como “extremamente baixa”. Essa alegação bate de frente com a validação independente de Gupta, e as duas posições não foram conciliadas publicamente. Há uma segunda lacuna que vale destacar, e ela é sobre incentivos, não sobre código. O prêmio máximo é de US$ 1 milhão. Um exploit desse tipo renderia múltiplos disso no mercado negro, e a Hexens divulgou mesmo assim, que é exatamente o motivo de rodar um bug bounty.

| The systemic-threat reading | | --- | | A leitura da resiliência | | --- | | Um setup de $3,000 poderia ameaçar uma layer-1 de topo-tier | | Corrigido em horas, sem disrupção na rede | | Um bug no núcleo sugere risco de categoria para cadeias Move | | A Aptos diz que as condições reais deixaram a explorabilidade muito baixa | | Uma falha poderia alcançar ativos de bridge e stablecoin | | O bounty direcionou uma saída de white-hat em vez de uma venda |

O que o gráfico de APT está fazendo enquanto o debate rola Os traders, em grande parte, deram de ombros. No gráfico de 4 horas de Aptos/USD no Coinbase,** puxado via TradingView,** o APT foi negociado perto de US$ 0,635 em 7 de julho, ficando acima da média móvel de 50 períodos em US$ 0,6061 e da linha de 100 períodos em US$ 0,6147, enquanto esbarrava na média de 200 períodos em US$ 0,6410 como resistência acima. Uma média móvel é apenas o preço de fechamento médio ao longo de tantas candles, e esse arranjo aponta para um repique real que ainda não limpou a tendência de baixa maior, a que puxou o APT de cerca de US$ 1,00 em meados de maio para cerca de US$ 0,55. O RSI, um indicador de pressão de compra que vai de 0 a 100, ficou em 58,77, acima do patamar neutro de 50, mas bem longe da linha de 70 que sinaliza um mercado superaquecido. **CoinMarketCap **teve o APT em alta de 9,91% na semana em US$ 0,6339, então a divulgação parece mais um peso no sentimento do que um gatilho para vendas reais. A correção que supera este ciclo de notícias Construtores carregam o peso no curto prazo. Qualquer pessoa rodando um app na Aptos tem motivo para reavaliar como o código lida com o tipo de caso-limite que a Hexens encontrou, e grandes investidores podem manter um prêmio de risco um pouco maior em tokens baseados em Move como APT e SUI enquanto olham novamente para as bases da rede. Duas coisas, porém, devem ficar após a cobertura desaparecer. A primeira é o teto do bounty. Um limite de US$ 1 milhão parece cada vez menor diante do valor que ele foi feito para proteger, e projetos competindo com compradores do mercado negro podem ter pouca escolha além de aumentá-lo. A segunda é uma mudança na pergunta que os pesquisadores realmente fazem. Por anos, os créditos eram sobre quantas transações uma cadeia consegue empurrar. Esse incidente desloca o foco para a habilidade oposta: quão rápido uma rede consegue frear a si mesma. Cadeias rápidas cada vez mais precisam de “kill switches” automáticos que congelam transferências entre cadeias no instante em que algo parecer errado, porque, uma vez que um humano percebe, as transações já terão acontecido. A Aptos está prestes a rodar esse experimento em si mesma. Uma proposta para ocultar detalhes de transações até depois de confirmarem, o que tornaria front-running mais difícil, já está avançando na votação da comunidade, enquanto outras atualizações buscam tempos de confirmação ainda mais rápidos. Cada uma dessas mudanças adiciona velocidade e aumenta o valor em jogo, a mesma combinação que a divulgação da Hexens mostrou que pode transformar um único bug em um problema sistêmico. Se o próximo momento de segurança do Move vai soar como tranquilizador ou como repetição depende de uma coisa: se essas atualizações chegam com o tipo de salvaguardas embutidas que este episódio defendeu.