May quá! Công ty bảo mật phát hiện lỗ hổng Aptos: 700 tỷ USD tiền điện tử đối mặt với rủi ro hệ thống.

Công ty bảo mật Hexens, một nhóm hacker mũ trắng, đã phát hiện ra lỗ hổng type confusion trong máy ảo Move của blockchain Aptos, với tỷ lệ tấn công thành công gần 90%. Hexens đánh giá rằng nếu bị khai thác độc hại, rủi ro hệ thống liên quan đến cầu nối chuỗi chéo, phát hành stablecoin và sàn giao dịch có thể lên tới 70 tỷ USD.

(Tin trước: Giám đốc pháp lý của Grayscale, Craig Salm, nói rằng lỗ hổng Zcash khó có thể bị khai thác trước khi được sửa chữa) (Bổ sung bối cảnh: Hacker mũ trắng tiết lộ lỗ hổng 0-day ẩn trong Cosmos! Khởi động lại node có thể gây tê liệt toàn bộ, nhưng chính quyền lại coi báo cáo là thư rác)

Mục lục bài viết

Toggle

• Máy chủ 3.000 USD, 20 lần mô phỏng, 18 lần thành công
• SEAL911 phản ứng trong đêm, vá lỗi trong 48 giờ
• "Gần như không thể khai thác"? Kiểm tra độc lập phản bác tuyên bố chính thức
• Từ 250 triệu đến 70 tỷ USD: Phóng đại rủi ro từng lớp

Một máy chủ với chi phí thiết lập chưa đến 3.000 USD, cùng một nhóm hacker mũ trắng, có thể khiến tài sản tiền mã hóa trị giá 70 tỷ USD gặp rủi ro? Đây là kết luận từ một cuộc tấn công mô phỏng của công ty bảo mật Hexens trên blockchain Aptos. Các nhà nghiên cứu đã tái tạo cuộc tấn công trong điều kiện gần với mạng chính thực tế, với tỷ lệ thành công gần 90%.

Máy chủ 3.000 USD, 20 lần mô phỏng, 18 lần thành công

Giám đốc kỹ thuật của Hexens, Vahe Karapetyan, là người phát hiện ra lỗ hổng này. Lỗ hổng ẩn trong máy ảo Move của Aptos (môi trường cốt lõi chịu trách nhiệm thực thi hợp đồng thông minh) được Hexens gọi là "lỗi stale-cache (lỗi bộ nhớ đệm cũ)", gây ra "type confusion".

Nói đơn giản, phần mềm có thể bị đánh lừa, nhầm lẫn tài nguyên trên chuỗi này với tài nguyên khác. Tương tự như kiến trúc Ethereum, điều này tương đương với việc mã do kẻ tấn công kiểm soát trực tiếp ghi vào không gian lưu trữ của các hợp đồng khác, hoàn toàn vượt qua các đảm bảo an toàn kiểu mà ngôn ngữ Move vốn duy trì.

SEAL911 phản ứng trong đêm, vá lỗi trong 48 giờ

Nhóm của Karapetyan đã tự xây dựng một môi trường mô phỏng gần với quy mô mạng chính để xác minh lỗ hổng: hơn 30 node xác thực, phân bố staking gần với mạng chính thực tế, cùng với lưu lượng giao dịch thực và cạnh tranh thực thi cường độ cao. Chi phí thiết lập toàn bộ môi trường này chỉ khoảng 3.000 USD; nếu thực sự phát động tấn công, chi phí sẽ thậm chí còn thấp hơn và không yêu cầu quyền xác thực, kiến thức nội bộ hoặc bất kỳ quyền truy cập đặc quyền nào.

Nhóm đã thử nghiệm khoảng 20 lần trong môi trường mô phỏng, thành công 17 đến 18 lần, tương ứng với tỷ lệ thành công gần 90%. Ngay cả khi có 2 đến 3 lần thất bại, nó cũng không làm mạng lưới ngừng hoạt động, kẻ tấn công có thể kiên nhẫn chờ đợi cửa sổ tiếp theo để ra tay lần nữa.

"Gần như không thể khai thác"? Kiểm tra độc lập phản bác tuyên bố chính thức

Hexens đã báo cáo lỗ hổng chính thức thông qua chương trình bug bounty của Aptos vào ngày 25 tháng 2 năm 2026.

Aptos cho biết, khi nhận được báo cáo, nhóm nội bộ thực tế đã bắt đầu xử lý vấn đề này. Cùng ngày, nhóm ứng phó khẩn cấp tình nguyện của ngành mã hóa, "SEAL911", đã mở phòng tác chiến. Nhóm này trong những năm gần đây đã trở thành lớp ứng phó tuyến đầu quan trọng đối với các lỗ hổng lớn trong hệ sinh thái mã hóa.

Trong vài giờ, Aptos đã thông báo cho các nhà cung cấp bị ảnh hưởng, và vào chiều cùng ngày, đã thông báo thêm cho 4 dự án hạ nguồn chính, kèm theo bằng chứng khái niệm (PoC) có thể thực thi cục bộ. Đến ngày 27 tháng 2, một pull request vá lỗi công khai đã được đưa lên; Aptos nhấn mạnh rằng trước khi công bố commit, nhóm thực tế đã triển khai vá lỗi cho các node xác thực riêng.

Đại diện chính thức của Aptos nói với CoinDesk: "Khi nhận được báo cáo qua bug bounty vào ngày 25 tháng 2, nội bộ đã bắt đầu xử lý. Việc vá lỗi đã được phát triển, thử nghiệm và triển khai lên mạng chính trong vòng vài giờ sau khi phát hiện, và không có người dùng hoặc quỹ nào bị ảnh hưởng trong suốt quá trình."

Từ 250 triệu đến 70 tỷ USD: Phóng đại rủi ro từng lớp

Tuy nhiên, cách định hướng ra bên ngoài của Aptos khác biệt rõ rệt với đánh giá của Hexens. Aptos nói với CoinDesk: "Phân tích của chúng tôi cho rằng lỗ hổng này khó có thể bị khai thác trong điều kiện thực tế." Hexens phản hồi rằng cho đến nay vẫn chưa nhận được bất kỳ phản bác kỹ thuật nào dựa trên bằng chứng, và nghi ngờ duy nhất mà chính quyền đưa ra chỉ là thành phần ngẫu nhiên vốn có của lỗ hổng, đó chính xác là vấn đề mà kỹ thuật "unarmed calibration" giải quyết.

Nhưng kết quả kiểm tra độc lập dường như nghiêng về phía Hexens. Giám đốc kỹ thuật của Polygon, Mudit Gupta, sau khi xem xét độc lập bằng chứng khái niệm này, cho biết: "Nó hoạt động như tuyên bố, lỗ hổng có lý... Cần đáp ứng một số điều kiện, có vẻ như họ đã đạt được trên mạng chính."

Một tổ chức kiểm tra độc lập khác xác thực PoC của Hexens, Grego AI, chỉ ra rằng lỗ hổng này đủ để đánh cắp quyền của nhiều giao thức, bao gồm LayerZero, Wormhole và giao thức chuỗi chéo USDC CCTP. CEO của Grego AI, Justus Hanna, nói thẳng: "Nếu kẻ tấn công độc hại có được lỗ hổng này, chúng có thể lấy bất kỳ tổng giá trị bị khóa (TVL) nào mà chúng muốn."

Từ 250 triệu đến 70 tỷ USD: Phóng đại rủi ro từng lớp

Hexens đánh giá rằng quy mô rủi ro trực tiếp trên chuỗi Aptos, liên quan đến DeFi, tài sản token hóa, cơ sở hạ tầng stablecoin và staking thanh khoản, là khoảng "hàng tỷ USD"; Grego AI, dựa trên tỷ lệ thành công tấn công gần 90%, tính toán rằng khoảng 250 triệu USD tổng giá trị bị khóa gốc của Aptos bị đe dọa trực tiếp, chưa bao gồm rủi ro chuỗi chéo.

Khi mở rộng tầm nhìn đến rủi ro hệ thống rộng hơn, con số Hexens đưa ra là 70 tỷ USD, phạm vi bao gồm cầu nối chuỗi chéo, hệ thống nhắn tin chuỗi chéo, quy trình quản lý phát hành stablecoin, và giá trị tài sản có thể tiếp cận của các sàn giao dịch tập trung. Giả định cho con số đáng kinh ngạc này là kẻ tấn công phát hành ồ ạt USDC, sau đó chuyển tài sản sang các chuỗi khác thông qua giao thức chuyển chuỗi chéo (CCTP) của Circle.

Tuy nhiên, Circle gần đây đã tuyên bố rằng sẽ không đóng băng tài sản nếu không có ủy quyền pháp lý, nói cách khác, một khi các bên can thiệp kịp thời, xác suất toàn bộ 70 tỷ USD được hiện thực hóa là không cao, nhưng con số này vẫn đủ để cho thấy mức độ nghiêm trọng của vấn đề.

Đáng chú ý, trong ngôn ngữ Move, quyền trên các giao thức chủ chốt như đúc stablecoin, kiểm soát cầu nối chuỗi chéo, quản lý thị trường cho vay thường được lưu trữ dưới dạng "tài nguyên trên chuỗi". Một khi các vai trò này bị tấn công, thiệt hại sẽ không giới hạn ở một giao thức đơn lẻ, mà sẽ lan rộng dọc theo chuỗi tin cậy đến tất cả các hệ thống phụ thuộc vào nó.

Trong thử nghiệm thực tế, nhóm Hexens thậm chí đã tạm thời chiếm quyền kiểm soát vai trò giống như "master minter (người đúc chính)" và thao tác theo con đường quản lý hợp pháp, mặc dù cuối cùng dừng lại trước khi thực sự đúc tiền, nhưng đã đủ chứng minh rằng các vai trò này phải được đưa vào mô hình mối đe dọa đầy đủ. Các nhà nghiên cứu cho rằng con đường chính dẫn đến rủi ro rộng hơn thực tế là các sàn giao dịch tập trung, đặc biệt là các đường dẫn cầu nối Aptos kết nối hoạt động trên chuỗi với sổ sách ghi nhận nạp tiền của sàn giao dịch.