Vulnerabilidade Aptos: Como a Sua Velocidade Aumentou um $70B Risco

• A Hexens encontrou uma falha crítica na Aptos que foi corrigida antes de qualquer fundo ser movimentado.
• O bug poderia permitir a um atacante forjar ativos e fazê-los atravessar pontes.
• A Aptos contesta a gravidade, mas o CTO da Polygon validou a prova de conceito.
• O caso reaviva o argumento a favor de circuit breakers on-chain em L1s rápidas.

Uma empresa de segurança revelou que a Aptos, uma das blockchains de camada-1 mais rápidas, carregou uma falha crítica durante meses antes de ter sido corrigida em silêncio. A 4 de julho, a Hexens tornou público um bug que havia reportado em privado à Aptos a 25 de fevereiro: uma fragilidade no motor que executa os contratos inteligentes da cadeia que, segundo a sua própria estimativa, colocava em jogo até US$ 70 mil milhões de risco teórico através de pontes, stablecoins e exchanges ligadas. A Aptos Labs corrigiu-o nas horas seguintes ao primeiro reporte, e nenhum fundo de utilizadores foi alguma vez tocado. Então porque é que uma correção com cinco meses de idade está a fazer notícia agora? Duas razões. A primeira, obviamente, é o número. Mas também o detalhe por baixo: o que a Aptos mais vende é a velocidade “crua”, e a velocidade “crua” é exatamente o que transforma US$ 70 mil milhões de um título de alarme num valor defensável. Um “record” de throughput, um dia depois da história ter rebentado A 5 de julho, mal 24 horas após o reporte, a conta oficial do projeto avançou com a atualização mensal agendada de tokenomics, reportando 232.500 APT queimados nos últimos 30 dias, mais de 16 milhões de transações num único dia para um novo máximo trimestral, e uma taxa média de US$ 0,0005 após um aumento de taxas a dez vezes, tudo sob o lema “the full stack for markets and machines at work.” O post lê-se de forma muito diferente quando tens o anúncio da Hexens à frente, porque as transações quase sem custo e o enorme throughput que a Aptos está a promover são exatamente as mesmas propriedades que um investigador de segurança pesa em primeiro lugar ao calcular quanto é que um único bug no núcleo da cadeia poderia, de facto, custar.

Cada transação na Aptos queima $APT. Nova atualização do mês:

• 232,5K APT queimados nos últimos 30D
• 1,4M APT queimados no total desde o mainnet
• +16M transações num dia—a novo máximo trimestral
• US$0,0005 taxa média de tx desde o aumento de 10x

The full stack for markets and machines at work. pic.twitter.com/gPEuWzD1Qf

— Aptos (@Aptos) 5 de julho de 2026

O bug viveu por baixo do código que a maioria das auditorias verifica A Aptos é construída em Move, uma linguagem de programação desenhada especificamente para tornar este tipo de ataque difícil. O Move trata tokens e outros ativos digitais como itens protegidos e, no momento em que uma transação é executada, verifica que nada está a ser manuseado como um tipo errado. Essa promessa de segurança é uma grande parte do porquê de a Aptos e a Sui venderem o Move como mais seguro do que ambientes mais antigos. A falha da Hexens passou por baixo dessa promessa em vez de a quebrar de frente. Em termos simples, o sistema funcionou brevemente com informação desatualizada e acabou por confundir um tipo de item on-chain com outro. Em segurança, chamam-lhe “type confusion”, um problema antigo de software em que um programa lê algo como um tipo errado e passa direto pelos controlos destinados a impedi-lo. Numa blockchain, essa confusão é perigosa: um atacante poderia disfarçar um item malicioso como um legítimo e levar a rede a interpretar mal quem é o dono de um ativo e quem tem permissão para o movimentar. O CTO da Polygon, Mudit Gupta, analisou a prova de conceito de forma independente e disse à CoinDesk que correu conforme alegado, com a ressalva de que algumas condições teriam de se alinhar primeiro. Vindo do responsável de segurança de uma cadeia rival, isso tem mais peso do que qualquer coisa que a Aptos ou a Hexens pudessem dizer por si mesmas. Por que taxas baratas e grande volume pioram o bug O throughput deixa de ser apenas uma linha de marketing e começa a comportar-se como um multiplicador de risco. A Hexens executou o ataque contra um cluster de mais de 30 nós validadores, montado para espelhar a rede real, num equipamento de servidor que custou cerca de US$ 3.000 e que representava aproximadamente um terço do conjunto de validadores. Funcionou 17 ou 18 vezes em 20, sem acesso interno ou permissões especiais exigidas. Quando se juntam os números em tempo real, a imagem fica mais nítida. Por uma fração de cêntimo por transação, inundar a cadeia com payloads maliciosos fica praticamente sem custo. Com 16 milhões de transações por dia, e blocos a confirmar em segundos, um atacante capaz de forjar ativos precisaria apenas de uma janela curta para os criar e movê-los para fora antes de alguém reagir. A velocidade é neutra. O mesmo motor que limpa volume legítimo em segundos também limparia um “mint-and-transfer” falso no mesmo ritmo, e os humanos a operar a rede não conseguem reagir tão depressa. É a parte que o post dos “burn-metrics” sublinhou acidentalmente. Dois números muito diferentes, e por que a diferença importa Sairam duas cifras disto, e tratá-las como se fossem uma só é como a história fica distorcida. A menor cifra ronda os US$ 250 milhões, o valor detido em aplicações DeFi da Aptos que a consultora independente Grego AI considerou estar em risco direto. A maior é a de US$ 70 mil milhões, e só aparece quando segues a falha à medida que ela se propaga para fora, através de pontes entre cadeias como Wormhole e LayerZero, sistemas de stablecoin e as exchanges que negociam APT e as suas versões “wrapped”. As pontes são o ponto fraco. Elas agregam ativos de várias cadeias ao mesmo tempo; por isso, um evento de ativo forjado que comece na Aptos poderia, no pior caso modelado, drenar dinheiro que originalmente veio da Ethereum. US$ 70 mil milhões é um total de pior cenário construído sobre uma pilha de pressupostos, e não dinheiro em caixa que alguma vez estivesse lá para ser agarrado num movimento limpo. | Figura | | --- | | O que representa | | Fonte | | --- | | US$ 250M | Valor em aplicações Aptos DeFi em risco direto | Grego AI | | US$ 70B | Pior risco sistémico através de pontes, stablecoins, exchanges | Hexens | | US$ 3,000 | Custo do servidor para simular aproximadamente um terço dos validadores | Hexens | | US$ 1M | Maior escalão de recompensa máxima por bug na Aptos | Programa de bug bounty da Aptos |

A Aptos Labs não contesta o relatório em si. Confirma a notificação de 25 de fevereiro através do programa de bug bounty e diz que o problema já estava a ser trabalhado internamente. O que contesta é a gravidade, argumentando que as condições reais da rede tornaram o exploit muito mais difícil de executar do que o setup de teste sugeria, e colocando a explorabilidade em “extremamente baixa”. Essa afirmação choca diretamente com a validação independente do Gupta, e as duas posições não foram reconciliadas publicamente. Há também uma segunda lacuna que vale a pena assinalar, e tem a ver com incentivos em vez de código. O prémio máximo (“bounty”) está limitado a US$ 1 milhão. Um exploit deste tipo renderia múltiplos disso no mercado negro, e a Hexens divulgou-o mesmo assim, o que é precisamente o objetivo de executar uma bounty.

| A leitura de ameaça sistémica | | --- | | A leitura de resiliência | | --- | | Um setup de US$ 3.000 poderia ameaçar uma L1 de topo | | Corrigido em horas, sem disrupção da rede | | Um bug central sugere risco de categoria para cadeias Move | | A Aptos diz que condições reais tornaram a explorabilidade muito baixa | | Uma falha poderia alcançar ativos em pontes e stablecoins | | A bounty direcionou um resultado de white-hat em vez de uma venda |

O que o gráfico do APT está a fazer enquanto o debate decorre Os traders, na maioria, atenuaram a questão. No gráfico Aptos/USD de 4 horas do Coinbase, obtido via TradingView, APT foi negociado perto de US$ 0,635 a 7 de julho, mantendo-se acima da média móvel de 50 períodos em US$ 0,6061 e da linha de 100 períodos em US$ 0,6147, enquanto esbarrava na média de 200 períodos em US$ 0,6410 como resistência por cima. Uma média móvel é apenas o preço de fecho médio ao longo daquele número de velas, e esta configuração aponta para um ressalto real que ainda não ultrapassou a maior tendência de baixa, aquela que levou o APT de cerca de US$ 1,00 em meados de maio para cerca de US$ 0,55. O RSI, um indicador da pressão compradora que vai de 0 a 100, ficou nos 58,77, acima da marca neutra de 50, mas longe da linha dos 70 que sinaliza um mercado sobreaquecido. CoinMarketCap tinha o APT em alta de 9,91% na semana, a US$ 0,6339, pelo que a divulgação parece mais um peso no sentimento do que um gatilho para venda real. A correção que ultrapassa este ciclo de notícias Os construtores suportam a carga de curto prazo. Qualquer pessoa a executar uma aplicação na Aptos tem razões para reavaliar como o seu código lida com o tipo de caso-limite que a Hexens encontrou, e grandes investidores podem manter um prémio de risco ligeiramente mais alto em tokens baseados em Move como APT e SUI enquanto voltam a olhar para os fundamentos da rede. Duas coisas, no entanto, deverão permanecer após o destaque desaparecer. A primeira é o limite da bounty. Um teto de US$ 1 milhão parece cada vez mais pequeno face ao valor que se destina a proteger, e projetos em concorrência com compradores do mercado negro podem ter pouca escolha senão aumentá-lo. A segunda é uma mudança na pergunta que os investigadores realmente passam a fazer. Durante anos, os créditos eram sobre quantas transações uma cadeia consegue empurrar. Este incidente puxa o foco para a competência oposta: quão rapidamente uma rede consegue travar-se a si própria. Cadeias rápidas precisam cada vez mais de “kill switches” automáticos que congelam transferências entre cadeias instantaneamente quando algo parece errado, porque assim que um humano repara, as transações já passaram. A Aptos está prestes a testar isso em si mesma. Uma proposta para ocultar detalhes das transações até depois de confirmadas, o que tornaria o front-running mais difícil, está já a avançar na votação da comunidade, enquanto outras melhorias perseguem tempos de confirmação ainda mais rápidos. Cada uma dessas opções adiciona velocidade e adiciona valor em risco, a mesma combinação que a divulgação da Hexens mostrou que pode transformar um único bug num problema sistémico. Se o próximo momento de segurança do Move vai ser lido como alívio ou como repetição depende de uma coisa: se essas atualizações são lançadas com o tipo de salvaguardas integradas que este episódio defendeu pela.a