Lỗ hổng Aptos: Tốc độ của nó đã làm lan rộng một $70B Rủi ro như thế nào

• Hexens phát hiện một lỗ hổng nghiêm trọng trong Aptos, và bản vá đã được triển khai trước khi có bất kỳ quỹ nào được chuyển đi.
• Lỗi này có thể cho phép kẻ tấn công giả mạo tài sản và đẩy chúng qua các cầu nối.
• Aptos phản đối mức độ nghiêm trọng, nhưng CTO của Polygon đã xác thực bằng chứng PoC.
• Vụ việc làm sống lại lập luận về các “công tắc mạch” (circuit breakers) trên chuỗi khối nhanh (fast L1).

Một công ty an ninh đã tiết lộ rằng Aptos, một trong những blockchain layer-1 nhanh hơn, đã mang một lỗ hổng nghiêm trọng trong suốt nhiều tháng trước khi âm thầm được khắc phục. Ngày 4/7, Hexens công khai một lỗi mà trước đó họ đã báo riêng cho Aptos vào ngày 25/2: một điểm yếu trong “động cơ” vận hành các smart contract của chuỗi. Theo ước tính của chính mình, điểm yếu này đã tạo ra đến 70 tỷ USD rủi ro lý thuyết có thể phát sinh trên các cầu nối, stablecoin và các sàn giao dịch liên kết. Aptos Labs đã vá trong vòng vài giờ kể từ báo cáo đầu tiên, và không có bất kỳ khoản tiền người dùng nào bị đụng đến. Vậy vì sao một bản vá đã tồn tại từ 5 tháng trước lại thành tin nóng lúc này? Có hai lý do. Trước hết là con số. Nhưng quan trọng hơn là chi tiết nằm bên dưới: thứ Aptos quảng bá mạnh nhất chính là tốc độ thô, và tốc độ thô lại chính xác là yếu tố khiến 70 tỷ USD từ một tiêu đề gây hoang mang trở thành ước tính có thể bảo vệ. Khoe kỷ lục thông lượng, chỉ một ngày sau khi câu chuyện bùng nổ Ngày 5/7, chỉ chưa đầy 24 giờ sau khi báo cáo được công bố, tài khoản chính thức của dự án đã đăng ngay bản cập nhật tokenomics theo lịch hằng tháng, cho biết 232.500 APT đã bị đốt trong 30 ngày qua; hơn 16 triệu giao dịch trong một ngày đạt đỉnh quý mới; và phí trung bình 0,0005 USD sau khi tăng phí gấp 10 lần—tất cả nằm dưới tagline “the full stack for markets and machines at work.” Bài đăng sẽ đọc hoàn toàn khác nếu bạn đặt nội dung tiết lộ của Hexens ở ngay trước mặt, vì những giao dịch gần như không đáng kể và thông lượng khổng lồ mà Aptos đang cố gắng thuyết phục lại chính là những thuộc tính mà một nhà nghiên cứu bảo mật cân nhắc đầu tiên khi tính xem một lỗi đơn trong lõi chuỗi có thể tốn kém bao nhiêu thật sự.

Mỗi giao dịch trên Aptos đốt $APT. Cập nhật tháng mới:

• 232,5K APT bị đốt trong 30D gần nhất
• 1,4M tổng APT bị đốt kể từ mainnet
• +16M giao dịch trong một ngày—đỉnh quý mới
• Phí giao dịch TB 0,0005 USD kể từ khi tăng phí 10x

The full stack for markets and machines at work. pic.twitter.com/gPEuWzD1Qf

— Aptos (@Aptos) ngày 5/7/2026

Lỗi nằm dưới lớp mã mà hầu hết các cuộc audit đều kiểm tra Aptos được xây dựng trên Move, một ngôn ngữ lập trình được thiết kế riêng để làm cho kiểu tấn công này trở nên khó xảy ra. Move coi token và các tài sản kỹ thuật số khác là những “mục được bảo vệ” và kiểm tra—tại thời điểm một giao dịch chạy—rằng không có thứ gì được xử lý như một loại sai. Lời hứa an toàn đó là một phần lớn lý do vì sao cả Aptos và Sui đều tiếp thị Move là an toàn hơn so với các môi trường cũ. Điểm yếu của Hexens lọt qua lời hứa này thay vì phá vỡ nó một cách trực diện. Nói đơn giản, hệ thống trong thời gian ngắn hoạt động dựa trên thông tin đã lỗi thời và cuối cùng nhầm lẫn một loại “mục trên chuỗi” này với một loại “mục” khác. Người làm bảo mật gọi đó là “type confusion” (nhầm kiểu), một vấn đề phần mềm cũ: khi một chương trình đọc một thứ như kiểu sai và bước thẳng qua các kiểm tra vốn được thiết kế để ngăn chặn. Trên blockchain, sự nhầm lẫn như vậy là nguy hiểm: kẻ tấn công có thể ngụy trang một “mục độc hại” thành một “mục hợp pháp” và lừa mạng hiểu sai ai là người sở hữu một tài sản, và ai được phép chuyển nó. CTO Polygon Mudit Gupta đã tự mình rà soát bằng chứng PoC và nói với CoinDesk rằng nó chạy đúng như tuyên bố, kèm theo điều kiện rằng một vài thứ phải khớp với nhau trước. Đến từ “người đứng đầu mảng an ninh” của một chuỗi đối thủ, điều đó có trọng lượng lớn hơn bất cứ điều gì Aptos hay Hexens có thể nói một mình. Vì sao phí rẻ và khối lượng lớn khiến lỗi tệ hơn Thông lượng ở đây không còn chỉ là câu chữ marketing, mà bắt đầu hoạt động như một “bộ khuếch đại rủi ro”. Hexens thực hiện cuộc tấn công trên một cụm gồm hơn 30 node validator, được thiết lập để phản chiếu mạng thật, trên một hệ thống máy chủ có chi phí khoảng 3.000 USD và đóng vai trò xấp xỉ một phần ba tập validator. Lỗi chạy được 17 hoặc 18 lần trên 20, không cần truy cập nội bộ hay quyền đặc biệt. Gộp các con số thực tế vào, bức tranh trở nên sắc nét hơn. Với mức phí chỉ bằng một phần trăm xu cho mỗi giao dịch, việc “đổ” mạng bằng các payload độc hại gần như miễn phí. Với 16 triệu giao dịch mỗi ngày, trong khi các block được xác nhận trong vài giây, một kẻ tấn công có thể giả mạo tài sản chỉ cần một cửa sổ ngắn để tạo chúng và chuyển đi trước khi ai đó phản ứng. Tốc độ ở đây là trung lập theo nghĩa rủi ro: chính động cơ giúp xử lý lượng giao dịch hợp pháp trong vài giây cũng sẽ xử lý một lượt “mint-and-transfer” giả mạo với cùng tốc độ, và con người vận hành mạng không thể phản ứng nhanh đến vậy. Đó chính là phần mà bài đăng về chỉ số “đốt” đã vô tình làm nổi bật. Hai con số rất khác nhau, và vì sao khoảng chênh lệch đó quan trọng Từ vụ việc này, đã có hai con số được đưa ra, và việc coi chúng là một là cách khiến câu chuyện bị bóp méo. Con số nhỏ hơn nằm quanh 250 triệu USD—giá trị nằm trong các ứng dụng Aptos DeFi mà công ty độc lập Grego AI đánh giá là có rủi ro trực tiếp. Con số lớn hơn là 70 tỷ USD, và nó chỉ xuất hiện khi bạn lần theo lỗi lan ra bên ngoài qua các cầu nối xuyên chuỗi như Wormhole và LayerZero, các hệ thống stablecoin, và các sàn giao dịch giao dịch APT cùng các phiên bản được bọc (wrapped) của nó. Cầu nối là “điểm yếu mềm”. Chúng gom tài sản từ nhiều chuỗi cùng lúc, nên trong kịch bản tệ nhất được mô hình hóa, một sự kiện tài sản bị giả mạo bắt đầu trên Aptos có thể rút tiền—tiền vốn ban đầu đến từ Ethereum. 70 tỷ USD là tổng rủi ro theo kịch bản tệ nhất dựa trên một chồng giả định, chứ không phải tiền mặt từng nằm đó để chỉ việc “cầm đi” trong một nước gọn.

| Con số | | --- | | Ý nghĩa | | Nguồn | | --- | | 250M | Giá trị trong các ứng dụng Aptos DeFi có rủi ro trực tiếp | Grego AI | | 70B | Rủi ro hệ thống tệ nhất trên các cầu nối, stablecoins, sàn giao dịch | Hexens | | 3.000 | Chi phí máy chủ để mô phỏng khoảng một phần ba validator | Hexens | | 1M | Mức trần phần thưởng bug bounty tối đa cho lỗ hổng trên Aptos | Chương trình bug bounty của Aptos |

Aptos Labs không tranh cãi chính nội dung báo cáo. Họ xác nhận thông báo ngày 25/2 thông qua chương trình bug bounty và nói rằng vấn đề này đã được xử lý từ trước trong nội bộ. Điều họ phản đối là mức độ nghiêm trọng: họ cho rằng điều kiện vận hành mạng thực tế khiến việc khai thác khó hơn nhiều so với hàm ý từ thiết lập thử nghiệm, và tính khả khai thác trong thực tế ở mức “cực kỳ thấp”. Lập luận này lại đụng thẳng vào phần xác thực độc lập của Gupta, và hai quan điểm vẫn chưa được hòa giải công khai. Có một khoảng trống thứ hai đáng chú ý, và nó liên quan đến động cơ (incentives) hơn là mã nguồn. Trần thưởng bounty là 1 triệu USD. Một khai thác kiểu này trên thị trường đen có thể thu về nhiều lần con số đó, và Hexens dù vậy vẫn công bố—đó chính là toàn bộ lý do của việc chạy bounty.

| Cách đọc rủi ro hệ thống | | --- | | Cách đọc về khả năng chống chịu | | Một thiết lập 3.000 USD có thể đe dọa một layer-1 hàng đầu | Được vá trong vài giờ, không gây gián đoạn mạng | | Lỗi lõi gợi ý rủi ro theo nhóm cho các chain dùng Move | Aptos nói điều kiện thực tế làm khả năng khai thác rất thấp | | Một lỗi có thể vươn tới tài sản ở bridge và stablecoin | Phần thưởng đẩy kết quả nghiêng về hướng “white-hat” thay vì bán thông tin |

Điều mà biểu đồ APT đang làm trong lúc cuộc tranh luận diễn ra Nhà giao dịch nhìn chung đã phớt lờ vụ việc này. Trên biểu đồ Aptos/USD khung 4 giờ từ Coinbase,** được kéo qua TradingView,** APT đổi chủ quanh mức 0,635 USD vào ngày 7/7, giữ trên đường trung bình động 50 kỳ ở 0,6061 USD và đường 100 kỳ ở 0,6147 USD, trong khi va vào đường trung bình 200 kỳ tại 0,6410 USD như một mức kháng cự phía trên. Đường trung bình động đơn giản là giá đóng cửa trung bình trong ngần ấy nến, và cấu trúc này cho thấy một nhịp bật thực sự—nhưng vẫn chưa vượt được xu hướng giảm lớn hơn, xu hướng đã kéo APT từ khoảng 1,00 USD giữa tháng 5 xuống khoảng 0,55 USD. Chỉ số RSI, thước đo áp lực mua từ 0 đến 100, ở 58,77, cao hơn mốc trung tính 50 nhưng chưa chạm đường 70 báo hiệu thị trường quá nóng. **CoinMarketCap **cho thấy APT tăng 9,91% trong tuần ở mức 0,6339 USD, nên việc công bố có vẻ giống như một yếu tố tác động đến tâm lý hơn là “mồi lửa” khiến việc bán tháo thật sự xảy ra.

Bản vá sẽ tồn tại lâu hơn chu kỳ tin tức này Người xây dựng sẽ gánh phần việc ở ngắn hạn. Bất kỳ ai vận hành một ứng dụng trên Aptos đều có lý do để rà soát lại cách code của họ xử lý những tình huống biên kiểu mà Hexens đã tìm ra, và các nhà đầu tư lớn có thể vẫn duy trì một mức “phí bảo hiểm rủi ro” hơi cao hơn đối với các token dựa trên Move như APT và SUI trong lúc họ xem lại nền tảng của mạng. Tuy vậy, có hai thứ nhiều khả năng sẽ còn giữ nguyên sau khi các bài viết phủ sóng lắng xuống. Thứ nhất là trần thưởng bounty. Một mức trần 1 triệu USD ngày càng trông nhỏ bé so với giá trị mà nó được kỳ vọng bảo vệ, và các dự án cạnh tranh với người mua trên thị trường đen có thể sẽ ít lựa chọn hơn ngoài việc nâng trần. Thứ hai là sự thay đổi trong câu hỏi mà các nhà nghiên cứu thật sự đặt ra. Trong nhiều năm, quyền khoe chủ yếu nằm ở việc một chain có thể đẩy được bao nhiêu giao dịch. Sự cố này lại đẩy trọng tâm sang kỹ năng ngược lại: mạng có thể tự “dừng lại” nhanh đến mức nào. Các chain nhanh ngày càng cần các “kill switch” tự động để đóng băng chuyển giao xuyên chuỗi ngay khi có dấu hiệu bất thường, vì một khi con người kịp nhận ra thì các giao dịch đã đi qua rồi. Aptos sắp tự mình chạy thử nghiệm đó. Một đề xuất giấu chi tiết giao dịch cho đến sau khi xác nhận—làm cho front-running khó hơn—đang được đưa qua bỏ phiếu cộng đồng, trong khi các nâng cấp khác lại theo đuổi thời gian xác nhận thậm chí nhanh hơn. Mỗi nâng cấp như vậy đều tăng tốc và làm tăng “giá trị đang bị đặt cược”—cũng là tổ hợp mà việc Hexens công bố đã cho thấy có thể biến một lỗi đơn thành rủi ro hệ thống. Liệu khoảnh khắc bảo mật tiếp theo của Move sẽ được đọc như một sự trấn an hay lại là điệp khúc tái diễn, cuối cùng phụ thuộc vào một điều: liệu các nâng cấp này có được triển khai kèm những cơ chế bảo vệ sẵn như chính tập hợp lập luận của vụ việc này đã nêu ra hay không.