Vulnerabilidade do Aptos: Como a sua Velocidade Ampliou um $70B Risco

• A Hexens descobriu uma falha crítica na Aptos que foi corrigida antes de qualquer movimentação de fundos.
• O bug poderia ter permitido a um atacante forjar ativos e transferi-los através de pontes.
• A Aptos contesta a gravidade, mas o CTO da Polygon validou a prova de conceito.
• O caso reaviva o argumento a favor de disjuntores on-chain em L1s rápidas.

Uma empresa de segurança revelou que a Aptos, uma das blockchains de camada 1 mais rápidas, continha uma falha crítica durante meses antes de ser corrigida discretamente. A 4 de julho, a Hexens tornou público um bug que havia reportado em privado à Aptos em 25 de fevereiro, uma fraqueza no motor que executa os contratos inteligentes da rede que, segundo a sua estimativa, colocava em risco teórico até 70 mil milhões de dólares em pontes, stablecoins e exchanges conectadas. A Aptos Labs corrigiu-o em horas após esse primeiro relatório, e nenhum fundo de utilizadores foi afetado. Então, porque é que uma correção de há cinco meses é notícia agora? Duas razões. O número, obviamente. Mas também o detalhe subjacente: o que a Aptos mais promove é a velocidade bruta, e a velocidade bruta é exatamente o que transforma 70 mil milhões de dólares de um título alarmista numa estimativa defensável. Uma gabarola de rendimento recorde, um dia após a notícia A 5 de julho, menos de 24 horas após o relatório, a conta oficial do projeto prosseguiu com a sua atualização mensal programada de tokenomics, reportando 232.500 APT queimados nos últimos 30 dias, mais de 16 milhões de transações num único dia para um novo máximo trimestral, e uma taxa média de $0,0005 após um aumento de dez vezes nas taxas, tudo sob o slogan "a pilha completa para mercados e máquinas em funcionamento". A publicação lê-se de forma muito diferente depois de se ter a divulgação da Hexens à vista, porque as transações quase gratuitas e o enorme débito que a Aptos promove são exatamente as mesmas propriedades que um investigador de segurança pondera primeiro ao calcular quanto é que um único bug no núcleo da rede poderia realmente custar.

Cada transação na Aptos queima $APT. Atualização do novo mês:

• 232,5K APT queimados nos últimos 30D
• 1,4M total de APT queimados desde a mainnet
• +16M de transações num dia—um novo máximo trimestral
• Taxa média de $0,0005 desde o aumento de 10x nas taxas

A pilha completa para mercados e máquinas em funcionamento. pic.twitter.com/gPEuWzD1Qf

— Aptos (@Aptos) 5 de julho de 2026

O bug vivia abaixo do código que a maioria das auditorias verifica A Aptos é construída em Move, uma linguagem de programação concebida especificamente para tornar este tipo de ataque difícil. O Move trata tokens e outros ativos digitais como itens protegidos e verifica, no momento em que uma transação é executada, se nada está a ser tratado como o tipo errado de coisa. Essa promessa de segurança é uma grande parte da razão pela qual a Aptos e a Sui promovem o Move como mais seguro do que ambientes mais antigos. A falha da Hexens escapou a essa promessa em vez de a quebrar de frente. Em termos simples, o sistema funcionou brevemente com base em informações desatualizadas e acabou por confundir um tipo de item on-chain com outro. Os especialistas em segurança chamam a isso "confusão de tipos", um problema de software antigo onde um programa lê algo como o tipo errado e ignora as verificações destinadas a impedi-lo. Numa blockchain, essa mistura é perigosa: um atacante poderia disfarçar um item malicioso como legítimo e enganar a rede para que leia mal quem possui um ativo e quem tem permissão para o mover. Mudit Gupta, CTO da Polygon, analisou a prova de conceito de forma independente e disse à CoinDesk que funcionou conforme afirmado, com a ressalva de que algumas condições tinham de estar alinhadas primeiro. Vindo do chefe de segurança de uma rede rival, isso tem mais peso do que qualquer coisa que a Aptos ou a Hexens pudessem dizer por si mesmas. Porque é que taxas baixas e volume enorme agravam o bug O débito deixa de ser uma linha de marketing e começa a comportar-se como um multiplicador de risco. A Hexens executou o ataque contra um cluster de mais de 30 nós validadores, configurado para espelhar a rede real, num servidor que custou cerca de $3.000 e representou aproximadamente um terço do conjunto de validadores. Funcionou 17 ou 18 vezes em 20, sem necessidade de acesso interno ou permissões especiais. Incluindo os números reais, o quadro torna-se mais nítido. A uma fração de cêntimo por transação, inundar a rede com cargas maliciosas é quase gratuito. A 16 milhões de transações por dia, com blocos a confirmar em segundos, um atacante que conseguisse forjar ativos precisaria apenas de uma janela curta para os criar e movê-los antes que alguém reagisse. A velocidade é neutra. O mesmo motor que limpa o volume legítimo em segundos limparia uma execução falsa de cunhagem e transferência ao mesmo ritmo, e os humanos que operam a rede não conseguem reagir tão rápido. Essa é a parte que a publicação sobre métricas de queima sublinhou acidentalmente. Dois números muito diferentes, e porque é que a diferença importa Surgiram dois números disto, e tratá-los como um só é como a história é distorcida. O mais pequeno é cerca de $250 milhões, o valor detido em aplicações DeFi da Aptos que a empresa independente Grego AI considerou estar em risco direto. O maior é os $70 mil milhões, e só aparece quando se segue a falha para fora através de pontes cross-chain como Wormhole e LayerZero, sistemas de stablecoin e as exchanges que negociam APT e as suas versões encapsuladas. As pontes são o ponto fraco. Agregam ativos de várias redes ao mesmo tempo, por isso um evento de ativos forjados que comece na Aptos poderia, no pior cenário modelado, drenar dinheiro que veio originalmente da Ethereum. Os $70 mil milhões são um pior caso construído sobre um conjunto de pressupostos, não dinheiro que alguma vez esteve ali para ser levado num movimento limpo.

| Número | | --- | O que representa | Fonte | | --- | --- | --- | | $250M | Valor em apps DeFi da Aptos em risco direto | Grego AI | | $70B | Pior caso de risco sistémico em pontes, stablecoins, exchanges | Hexens | | $3.000 | Custo do servidor para simular cerca de um terço dos validadores | Hexens | | $1M | Nível máximo de recompensa por bug da Aptos | Programa de recompensas por bugs da Aptos |

A Aptos Labs não contesta o relatório em si. Confirma a notificação de 25 de fevereiro através do programa de recompensas e diz que o problema já estava a ser trabalhado internamente. O que contesta é a gravidade, argumentando que as condições reais da rede tornavam a exploração muito mais difícil do que a configuração de teste implicava, classificando a explorabilidade no mundo real como "extremamente baixa". Essa afirmação colide diretamente com a validação independente de Gupta, e as duas posições não foram reconciliadas publicamente. Há uma segunda diferença que vale a pena assinalar, e é sobre incentivos em vez de código. A recompensa máxima é de $1 milhão. Uma exploração deste tipo renderia muitos múltiplos disso no mercado negro, e a Hexens divulgou na mesma, o que é o objetivo de um programa de recompensas.

| A leitura de ameaça sistémica | | A leitura de resiliência | | --- | --- | | Uma configuração de $3.000 poderia ameaçar uma camada 1 de topo | Corrigido em horas, sem interrupção da rede | | Um bug central sugere risco de categoria para redes Move | Aptos diz que condições reais tornavam explorabilidade muito baixa | | Uma falha poderia atingir ativos de pontes e stablecoins | A recompensa orientou um resultado white-hat em vez de uma venda |

O que o gráfico do APT está a fazer enquanto o debate decorre Os traders ignoraram isto em grande parte. No gráfico de 4 horas Aptos/USD da Coinbase, obtido via TradingView, o APT foi negociado perto de $0,635 a 7 de julho, mantendo-se acima da sua média móvel de 50 períodos a $0,6061 e da sua linha de 100 períodos a $0,6147, enquanto encontrava a média de 200 períodos a $0,6410 como resistência superior. Uma média móvel é apenas o preço de fecho médio ao longo desse número de velas, e esta configuração aponta para um verdadeiro ressalto que ainda não ultrapassou a tendência de queda maior, aquela que arrastou o APT de cerca de $1,00 em meados de maio para cerca de $0,55. O RSI, um indicador de pressão de compra que varia de 0 a 100, situou-se nos 58,77, acima do nível neutro de 50, mas longe da linha de 70 que sinaliza um mercado sobreaquecido. CoinMarketCap tinha o APT a subir 9,91% na semana para $0,6339, pelo que a divulgação parece mais um peso no sentimento do que um gatilho para vendas reais. A correção que ultrapassa este ciclo de notícias Os construtores carregam o fardo de curto prazo. Quem quer que esteja a executar uma app na Aptos tem uma razão para reverificar como o seu código lida com o tipo de caso extremo que a Hexens encontrou, e os grandes investidores podem manter um prémio de risco ligeiramente mais alto em tokens baseados em Move como APT e SUI enquanto reavaliam as fundações da rede. Duas coisas, no entanto, provavelmente ficarão depois de a cobertura desaparecer. A primeira é o limite da recompensa. Um teto de $1 milhão parece cada vez mais pequeno ao lado do valor que se destina a proteger, e os projetos que competem com compradores do mercado negro podem não ter outra escolha senão aumentá-lo. A segunda é uma mudança na questão que os investigadores realmente fazem. Durante anos, os direitos de gabarolice foram sobre quantas transações uma rede consegue processar. Este incidente empurra o foco para a habilidade oposta: quão rapidamente uma rede consegue parar-se a si mesma. Redes rápidas precisam cada vez mais de "interruptores de paragem" automáticos que congelem transferências cross-chain no momento em que algo parece errado, porque quando um humano repara, as transações já foram processadas. A Aptos está prestes a fazer essa experiência em si mesma. Uma proposta para ocultar detalhes das transações até depois de serem confirmadas, o que dificultaria o front-running, já está a avançar na votação comunitária, enquanto outras atualizações buscam tempos de confirmação ainda mais rápidos. Cada uma delas adiciona velocidade e adiciona valor em jogo, a mesma combinação que a divulgação da Hexens mostrou poder transformar um único bug num sistémico. Se o próximo momento de segurança do Move se lê como garantia ou repetição depende de uma coisa: se estas atualizações são lançadas com o tipo de salvaguardas integradas que este episódio defendeu.