Уразливість Aptos: як її швидкість розширила $70B ризик

• Hexens виявили критичну вразливість в Aptos, яку було виправлено ще до того, як зрушили будь-які кошти.
• Баг міг дозволити атакувальнику підробити активи та перекидати їх через мости.
• Aptos заперечує серйозність, однак CTO Polygon підтвердив proof-of-concept.
• Ця справа відновлює аргумент на користь on-chain circuit breakers на швидких L1.

У повідомленні фірми з безпеки йдеться про те, що Aptos, одна з найшвидших layer-1 блокчейн-мереж, місяцями несли критичну вразливість, перш ніж її тихо виправили. 4 липня Hexens винесли це назовні з багом, який вони приватно повідомили Aptos ще 25 лютого, — слабкістю в рушії, що запускає смарт-контракти мережі. За власною оцінкою Hexens, цей баг створював теоретичний ризик до $70 млрд, який був задіяний у мостах, стейблкоїнах та пов’язаних біржах. Команда Aptos Labs виправила проблему протягом кількох годин після першого повідомлення, і жодні кошти користувачів ніколи не були задіяні. То чому патч п’ятимісячної давності стає новиною саме зараз? Дві причини. Очевидно, перша — цифри. Але є й друга причина: деталь, що лежить під ними. Те, що Aptos продає найсильніше, — це «сирa швидкість», і саме «сирa швидкість» перетворює $70 млрд із лячної заголовної історії на захищену оцінку. Рекордний за пропускною здатністю хайп — день після зламу/історії 5 липня, менш ніж через 24 години після повідомлення, офіційний акаунт проєкту продовжив заплановане щомісячне оновлення токеноміки, повідомивши про спалення 232 500 APT за останні 30 днів, понад 16 млн транзакцій за один день у межах нового квартального максимуму та середню комісію $0.0005 після десятикратного підвищення комісій — усе під слоганом «повний стек для ринків і машин у роботі». Пост виглядає зовсім інакше, щойно перед очима з’являється disclosure від Hexens: майже безкоштовні транзакції та величезна пропускна здатність, які Aptos рекламує, — це саме ті властивості, які дослідник безпеки в першу чергу враховує, коли підраховує, скільки насправді може коштувати один баг у ядрі мережі.

Кожна транзакція в Aptos спалює $APT. Нове місячне оновлення:

• 232.5K APT спалено за Last 30D
• 1.4M APT спалено з моменту mainnet
• +16M транзакцій за день — новий квартальний максимум
• $0.0005 середня комісія за tx з 10x підвищення комісій

Повний стек для ринків і машин у роботі. pic.twitter.com/gPEuWzD1Qf

— Aptos (@Aptos) 5 липня 2026

Баг жив нижче того коду, який перевіряє більшість аудитів Aptos побудований на Move — мові програмування, створеній спеціально, щоб зробити атаки такого типу важкими. Move розглядає токени та інші цифрові активи як захищені об’єкти й перевіряє, в момент виконання транзакції, що з нічого не обробляється як «не той тип». Ця обіцянка безпеки — одна з причин, чому як Aptos, так і Sui позиціонують Move як безпечніший за старіші середовища. Проблема Hexens прослизнула під цією обіцянкою, замість того щоб зламати її напряму. Якщо просто, система на мить працювала з застарілою інформацією і в підсумку сплутала один вид on-chain-елемента з іншим. Люди з безпеки називають це «type confusion» — давня програмна проблема, коли програма читає щось як неправильний тип і проходить повз перевірки, призначені саме для того, щоб зупинити таку поведінку. У блокчейні ця плутанина небезпечна: атакувальник може замаскувати зловмисний елемент під законний і змусити мережу неправильно прочитати, кому належить актив і хто має право його рухати. CTO Polygon Мудіт Гупта незалежно переглянув proof-of-concept і сказав CoinDesk, що він працював так, як заявлено, з застереженням, що для цього мали зійтися кілька умов. Те, що це озвучив керівник з безпеки конкуруючого ланцюга, має вагу більшу, ніж усе, що Aptos або Hexens могли сказати самі про себе. Чому дешеві комісії та великий обсяг роблять баг гіршим Пропускна здатність перестає бути тут рекламною фразою і починає поводитися як множник ризику. Hexens провели атаку на кластері з понад 30 валідаторів, налаштованому так, щоб дзеркалити реальну мережу, на серверній стійці вартістю приблизно $3,000, яка імітувала близько третини набору валідаторів. Атака спрацювала 17 або 18 разів із 20 — без доступу інсайдера чи спеціальних дозволів. Додайте живі цифри — і картина загострюється. За частку цента за транзакцію затопити мережу зловмисними payload’ами майже безкоштовно. За 16 млн транзакцій на день, коли блоки підтверджуються за лічені секунди, атакувальник, який міг би підробити активи, мав би лише коротке вікно, щоб створити їх і вивести, перш ніж хтось реагує. Швидкість нейтральна. Та сама машина, яка за лічені секунди розчищає законний обсяг, так само швидко розчистить фальшивий сценарій «mint-and-transfer», а люди, що керують мережею, не здатні реагувати так швидко. Саме це ненавмисно підкреслив пост про «burn-метрики». Дві дуже різні цифри — і чому різниця має значення З цього вийшли дві цифри, і трактування їх як одну — це те, як історію перекручують. Менша — близько $250 млн: вартість, яка зберігається в DeFi-додатках Aptos, що незалежна компанія Grego AI оцінила як такі, які перебувають під прямим ризиком. Більша — $70 млрд, і вона з’являється лише тоді, коли простежити вразливість назовні через міжланцюгові мости на кшталт Wormhole і LayerZero, системи стейблкоїнів та біржі, де торгують APT і його обгорнутими версіями. Мости — слабке місце. Вони пулять активи з кількох ланцюгів одночасно, тож подія з підробленими активами, що починається в Aptos, у найгіршому змодельованому випадку могла б витягнути гроші, які спочатку походили з Ethereum. $70 млрд — це сукупний worst-case, збудований на стеку припущень, а не готівка, яка колись лежала там і чекала на легкий захоплюючий «чистий рух».

| Figure | | --- | Що це означає | Source | | --- | --- | --- | | $250M | Вартість у DeFi-додатках Aptos під прямим ризиком | Grego AI | | $70B | Найгірший системний ризик через мости, стейблкоїни, біржі | Hexens | | $3,000 | Вартість серверу для симуляції приблизно третини валідаторів | Hexens | | $1M | Максимальний рівень виплати bounty за баг в Aptos | Aptos bug bounty program |

Aptos Labs не заперечує сам звіт. Вона підтверджує повідомлення від 25 лютого через програму bug bounty і каже, що проблему вже опрацьовували внутрішньо. Оспорюють же там серйозність: вони стверджують, що реальні умови мережі робили експлойт значно важчим для виконання, ніж це припускало тестове налаштування, і що реальна експлуатованість у реальному світі є «надзвичайно низькою». Ця заява прямо стикається з незалежною валідацією Гупти, і дві позиції публічно досі не узгоджені. Є ще один розрив, який варто відзначити, і він стосується стимулів, а не коду. Bounty обмежується $1 млн. Експлойт такого типу на чорному ринку приніс би в рази більше, і Hexens усе одно розкрив деталі — і це є весь сенс запуску bounty.

| Системна загрозна оцінка | | --- | Оцінка щодо стійкості | | A $3,000 налаштування може загрожувати топовому layer-1 | Виправлено протягом годин, без порушення роботи мережі | | Базовий баг натякає на категорийний ризик для Move-ланцюгів | Aptos каже, що реальні умови зробили експлуатованість дуже низькою | | Один недолік може дістатися активів на мості та в стейблкоїнах | Bounty направило результат у бік «white-hat», а не продажу |

Що робить APT-графік, поки триває дискусія Трейдери здебільшого відмахнулися від цього. На 4-годинному графіку Aptos/USD від Coinbase,** отриманому через TradingView,** APT перейшов з рук у руки близько $0.635 7 липня, тримаючись вище своєї 50-періодної ковзної середньої на рівні $0.6061 і лінії 100-періоду на $0.6147, водночас натрапляючи на середнє значення за 200 періодів $0.6410 як на опір. Ковзна середня — це просто середня ціна закриття за таку кількість свічок, і це поєднання вказує на реальний відскок, який ще не пробив більший спадний тренд — той, що потягнув APT з приблизно $1.00 у середині травня до близько $0.55. RSI — індикатор тиску покупців, який коливається від 0 до 100, — був на рівні 58.77, вище нейтральної позначки 50, але зовсім не поруч із лінією 70, що сигналізує про перегрітий ринок. **CoinMarketCap ** тримав APT на +9.91 відсотка за тиждень на $0.6339, тож розкриття виглядає швидше як тягар для настроїв, а не як тригер для реальних продажів. Фікс, який переживе цей новинний цикл Завдання на найближчу дистанцію лягає на розробників. Будь-хто, хто запускає застосунок у Aptos, має причину ще раз перевірити, як його код обробляє саме той тип edge case, який знайшли Hexens, а великі інвестори можуть тримати трохи вищу премію до ризику для токенів на базі Move на кшталт APT і SUI, поки вони ще раз поглянуть на основу мережі. Однак після того, як шум у медіа згасне, ймовірно збережуться дві речі. Перша — стеля bounty. Обмеження $1 млн виглядає дедалі замалі поруч із тією цінністю, яку воно має захищати, і проєктам, що конкурують із чорними покупцями, може майже не лишитися вибору, окрім як підняти цю стелю. Друга — зміна самого питання, яке дослідники реально починають ставити. Раніше «права на вихваляння» стосувалися того, скільки транзакцій ланцюг здатен проштовхнути. Цей інцидент зсуває фокус у протилежний бік: як швидко мережа може зупинити саму себе. Швидким ланцюгам усе частіше потрібні автоматичні «kill switches», які миттєво заморожують міжланцюгові перекази, щойно щось виглядає підозріло, бо щойно людина помітить — транзакції вже встигнуть пройти. Aptos вже скоро проведе цей експеримент на собі. Пропозиція приховувати деталі транзакцій до того, як їх підтвердять, що ускладнить front-running, уже рухається в межах голосування в спільноті, тоді як інші апгрейди переслідують ще швидші часи підтвердження. Кожне з цих рішень додає швидкість і підвищує цінність того, що стоїть на кону, — те саме поєднання, яке показало disclosure від Hexens: як один баг може перетворитися на системний. Чи наступний «security moment» у Move читатиметься як запевнення, чи як повтор — залежить від одного: чи ці апгрейди постачаються з тим самим рівнем вбудованих запобіжників, який цей епізод доводив.

.a