一家資安公司透露， 速度最快的第一層區塊鏈之一 Aptos 在悄悄修好之前，曾讓這個關鍵缺陷持續了數個月。7 月 4 日，Hexens 公開了它在 2 月 25 日私下通報給 Aptos 的一個漏洞：鏈上用來執行智能合約的引擎存在弱點，依其自身估算，這讓最多高達 700 億美元的理論風險可能在跨橋、穩定幣與連動交易所之間被引入。Aptos Labs 在第一次通報後數小時內就完成了修補，而且從未有任何用戶資金遭到動用。 那麼，為何一個距今五個月的修補現在才成為新聞？有兩個原因。當然是數字本身。但還有其背後的細節：Aptos 最用力在行銷的是原始速度，而原始速度正是能把 700 億美元從駭人聽聞的標題，轉化為可辯護的估算的關鍵。 一則高吞吐量的炫耀，故事曝光後的隔天 7 月 5 日，報告曝光後僅 24 小時內，該專案的官方帳號就照常發布其預定的每月代幣經濟（tokenomics）更新，內容包括在過去 30 天燒毀 232,500 APT、單日超過 1600 萬筆交易創下全新季度高點，以及在費用增加 10 倍後的平均費用為 0.0005 美元，且都被置於「the full stack for markets and machines at work」這句標語之下。當你把 Hexens 的披露擺在眼前時，這篇貼文的語氣就完全不同了，因為 Aptos 正在宣傳的近乎免費交易與龐大的吞吐量，正是安全研究人員在計算「鏈核心的一個單一漏洞究竟可能造成多少成本」時，最先衡量的特性。
Aptos 上的每一筆交易都會燒毀 $APT。新的月份更新：
• 過去 30D 燒毀 232.5K APT • 自主網以來共燒毀 1.4M APT • 單日 +16M 筆交易——新的季度新高 • 10x 費用增加後的平均 tx 手續費 $0.0005
the full stack for markets and machines at work. pic.twitter.com/gPEuWzD1Qf
— Aptos (@Aptos) 2026 年 7 月 5 日
漏洞藏在多數稽核會檢查的程式碼之下 Aptos 是建立在 Move 之上，這是一種專為讓這類攻擊變得困難而設計的程式語言。Move 會把代幣與其他數位資產視為受保護的項目，並在交易執行當下檢查，確保沒有任何東西以錯誤的類型被處理。這項安全承諾也是為什麼 Aptos 與 Sui 都主打 Move 比較安全，勝過較舊的環境。 Hexens 的缺陷則是從承諾的底下溜進去，而不是正面擊穿它。用更簡單的說法：系統在某個短暫時刻是用過時的資訊在運作，最後把一種鏈上項目誤認成另一種。資安圈的人稱之為「型別混淆（type confusion）」：一個老牌的軟體問題，程式把某些東西讀成了錯誤的類型，然後就直接跨過原本用來阻止它的檢查。在區塊鏈上，這種混淆會很危險：攻擊者可以把惡意項目偽裝成合法項目，並誘使網路誤判誰擁有某項資產、誰被允許移動它。 Polygon 的 CTO Mudit Gupta 獨立審閱了概念驗證，並告訴 CoinDesk 它確實如宣稱般運作，但前提是需要幾個條件先同時滿足。這種說法來自競爭鏈的安全主管，所帶來的分量比 Aptos 或 Hexens 自己能說的任何內容都更重。 為何便宜手續費與巨大交易量會讓漏洞更糟 在這裡，吞吐量不再只是行銷口號，而開始表現得像是風險倍增器。Hexens 是在一組超過 30 個驗證節點的叢集上執行該攻擊；這套叢集被設置成用來鏡像真實網路，硬體伺服器的成本約 3000 美元，並約等於驗證節點集合的三分之一。它在 20 次中有 17 或 18 次成功，而且不需要內部存取或任何特殊權限。 把現場數字一起納入後，整體圖像會更清晰：以每筆交易僅幾分美分的成本來看，把惡意負載大量灌進鏈上幾乎等於零成本。當每日交易量達到 1600 萬筆、區塊確認在數秒內完成時，若攻擊者能夠偽造資產，就只需要一個短暫窗口去生成資產並在任何人做出反應前把它們轉移出去。速度本身是中性的。清除合法交易量的同一套引擎，會以同樣的節奏清除一場偽造「鑄造並轉移」的跑法，而操作網路的人類根本來不及反應那麼快。 那就是為何這篇談「燒毀指標」的貼文不小心點出了關鍵。 兩組截然不同的數字，以及為何落差重要 這件事出來了兩組數字，而把它們當成一組看待，正是故事如何被扭曲的方式。較小的一組約為 2.5 億美元：這是由獨立機構 Grego AI 判斷、直接面臨風險的 Aptos DeFi 應用中所持有的價值。較大的那組則是 700 億美元；它只有在你沿著這個缺陷一路往外追蹤到跨鏈橋（例如 Wormhole 與 LayerZero）、穩定幣系統，以及那些交易 APT 與其封裝版本的交易所之後才會出現。 橋梁是弱點所在。橋會同時彙集多條鏈上的資產，因此在最糟的建模情境下，若從 Aptos 開始發生「偽造資產」事件，可能會把原本來自以太坊（Ethereum）的資金掏空。700 億美元是一個最壞情境下的系統性總量，建立在一連串假設之上，而不是曾經被擺在那裡等待一口氣直接搶走的現金。
| 圖表 | | --- | 代表什麼 | 來源 | | --- | --- | --- | | 2500 萬美元 | Aptos DeFi 應用中直接面臨風險的價值 | Grego AI | | 700 億美元 | 跨橋、穩定幣、交易所的最壞情境系統性風險 | Hexens | | 3000 美元 | 用伺服器模擬約三分之一驗證節點的成本 | Hexens | | 100 萬美元 | Aptos 漏洞賞金最高級距的支付額 | Aptos 漏洞賞金計畫 |
Aptos Labs 並不否認這份報告本身。它確認了 2 月 25 日透過漏洞賞金計畫發出的通知，並表示該問題已在內部進行處理。它所爭執的是嚴重性：認為在真實網路條件下，要成功利用（exploit）會比測試環境所暗示的困難得多，並把真實世界可利用性評為「極低」。這項說法正好撞上 Gupta 的獨立驗證，雙方立場在公開層面仍未達成一致。 還有一個值得點名的落差，而且與誘因（incentives）有關，而不是程式碼。賞金上限是 100 萬美元。這種等級的漏洞利用在黑市上可能會換到遠高於此的多倍金額；而 Hexens 既然即便如此仍披露了，這才正是設定賞金機制的核心目的。
| 系統性威脅（systemic-threat）解讀 | | --- | 韌性（resilience）解讀 | | --- | | 一套 3000 美元的設定可能威脅到頂級第一層（layer-1） | 數小時內已修補，未造成網路中斷 | | 核心漏洞暗示對 Move 鏈的類別風險 | Aptos 表示真實情況使得可利用性非常低 | | 一個漏洞可能延伸到橋與穩定幣資產 | 賞金引導出「白帽」結果，而非出售 |
用 APT 圖表在辯論期間做了什麼 交易者多半對此聳聳肩。根據 Coinbase 的 4 小時 Aptos/USD 圖表，透過 TradingView 取得， 7 月 7 日 APT 交投價位接近 0.635 美元，並維持在 0.6061 美元的 50 期移動平均線以及 0.6147 美元的 100 期線之上，同時在 0.6410 美元的 200 期平均線上方遇到阻力。移動平均線只是在這些 K 線期間的收盤價平均，而這種排列指向確實存在回彈，但尚未突破更大的下行趨勢：那個在 5 月中旬把 APT 從約 1.00 美元拖到約 0.55 的趨勢。 相對強弱指標（RSI）作為衡量買盤壓力的指標，範圍從 0 到 100，落在 58.77，高於中性 50 但遠未接近 70 線（該線代表市場過熱）。**CoinMarketCap **顯示 APT 在一週內上漲 9.91%，報 0.6339 美元，因此這份披露看起來更像是對市場情緒的權重，而不是引發真正賣壓的觸發器。 修補能延續到本輪新聞週期之外 建置者承擔的是短期負荷。任何在 Aptos 上執行應用的人，都有理由重新檢查自己的程式碼，如何處理 Hexens 發現的那種邊界案例；而大型投資人也可能在重新檢視網路基礎架構時，對像 APT 與 SUI 這類以 Move 為基礎的代幣維持略高的風險溢酬。 不過，當報導熱度消退後，可能會持續存在的有兩件事。第一是賞金上限。100 萬美元的上限在面對它原本想要保護的價值時，顯得越來越小，與黑市買家競爭的專案或許不得不選擇提高它。第二是研究人員實際上會去問的問題出現轉變。多年來「能推動多少交易」是炫耀的權利。此次事件讓焦點往相反的能力移動：網路能多快讓自己停下來。快速鏈正越來越需要自動化的「殺切開關（kill switches）」：一旦看起來不對勁，就立刻凍結跨鏈轉帳，因為當人類注意到問題時，交易早已完成了。 Aptos 即將拿自己來做這個實驗。一項提案計畫在他們確認之後才隱藏交易細節，這會讓前跑（front-running）更困難，目前正透過社群投票推進；同時其他升級也在追求更快的確認時間。這些改動中的每一項都會帶來速度，也會讓處於風險之下的價值變得更高——正是 Hexens 披露所顯示的那種組合，能把單一漏洞變成系統性風險。Move 接下來的安全時刻將被解讀為是安心，還是再度重來，取決於一件事：這些升級是否會像本次事件所主張的那樣，內建防護機制.a
26.89萬 熱度
431.07萬 熱度
123.52萬 熱度
391.13萬 熱度
50.19萬 熱度
Aptos 漏洞：其速度如何擴大了 $70B 風險
一家資安公司透露， 速度最快的第一層區塊鏈之一 Aptos 在悄悄修好之前，曾讓這個關鍵缺陷持續了數個月。7 月 4 日，Hexens 公開了它在 2 月 25 日私下通報給 Aptos 的一個漏洞：鏈上用來執行智能合約的引擎存在弱點，依其自身估算，這讓最多高達 700 億美元的理論風險可能在跨橋、穩定幣與連動交易所之間被引入。Aptos Labs 在第一次通報後數小時內就完成了修補，而且從未有任何用戶資金遭到動用。 那麼，為何一個距今五個月的修補現在才成為新聞？有兩個原因。當然是數字本身。但還有其背後的細節：Aptos 最用力在行銷的是原始速度，而原始速度正是能把 700 億美元從駭人聽聞的標題，轉化為可辯護的估算的關鍵。 一則高吞吐量的炫耀，故事曝光後的隔天 7 月 5 日，報告曝光後僅 24 小時內，該專案的官方帳號就照常發布其預定的每月代幣經濟（tokenomics）更新，內容包括在過去 30 天燒毀 232,500 APT、單日超過 1600 萬筆交易創下全新季度高點，以及在費用增加 10 倍後的平均費用為 0.0005 美元，且都被置於「the full stack for markets and machines at work」這句標語之下。當你把 Hexens 的披露擺在眼前時，這篇貼文的語氣就完全不同了，因為 Aptos 正在宣傳的近乎免費交易與龐大的吞吐量，正是安全研究人員在計算「鏈核心的一個單一漏洞究竟可能造成多少成本」時，最先衡量的特性。
Aptos 上的每一筆交易都會燒毀 $APT。新的月份更新：
• 過去 30D 燒毀 232.5K APT
• 自主網以來共燒毀 1.4M APT
• 單日 +16M 筆交易——新的季度新高
• 10x 費用增加後的平均 tx 手續費 $0.0005
the full stack for markets and machines at work. pic.twitter.com/gPEuWzD1Qf
— Aptos (@Aptos) 2026 年 7 月 5 日
漏洞藏在多數稽核會檢查的程式碼之下 Aptos 是建立在 Move 之上，這是一種專為讓這類攻擊變得困難而設計的程式語言。Move 會把代幣與其他數位資產視為受保護的項目，並在交易執行當下檢查，確保沒有任何東西以錯誤的類型被處理。這項安全承諾也是為什麼 Aptos 與 Sui 都主打 Move 比較安全，勝過較舊的環境。 Hexens 的缺陷則是從承諾的底下溜進去，而不是正面擊穿它。用更簡單的說法：系統在某個短暫時刻是用過時的資訊在運作，最後把一種鏈上項目誤認成另一種。資安圈的人稱之為「型別混淆（type confusion）」：一個老牌的軟體問題，程式把某些東西讀成了錯誤的類型，然後就直接跨過原本用來阻止它的檢查。在區塊鏈上，這種混淆會很危險：攻擊者可以把惡意項目偽裝成合法項目，並誘使網路誤判誰擁有某項資產、誰被允許移動它。 Polygon 的 CTO Mudit Gupta 獨立審閱了概念驗證，並告訴 CoinDesk 它確實如宣稱般運作，但前提是需要幾個條件先同時滿足。這種說法來自競爭鏈的安全主管，所帶來的分量比 Aptos 或 Hexens 自己能說的任何內容都更重。 為何便宜手續費與巨大交易量會讓漏洞更糟 在這裡，吞吐量不再只是行銷口號，而開始表現得像是風險倍增器。Hexens 是在一組超過 30 個驗證節點的叢集上執行該攻擊；這套叢集被設置成用來鏡像真實網路，硬體伺服器的成本約 3000 美元，並約等於驗證節點集合的三分之一。它在 20 次中有 17 或 18 次成功，而且不需要內部存取或任何特殊權限。 把現場數字一起納入後，整體圖像會更清晰：以每筆交易僅幾分美分的成本來看，把惡意負載大量灌進鏈上幾乎等於零成本。當每日交易量達到 1600 萬筆、區塊確認在數秒內完成時，若攻擊者能夠偽造資產，就只需要一個短暫窗口去生成資產並在任何人做出反應前把它們轉移出去。速度本身是中性的。清除合法交易量的同一套引擎，會以同樣的節奏清除一場偽造「鑄造並轉移」的跑法，而操作網路的人類根本來不及反應那麼快。 那就是為何這篇談「燒毀指標」的貼文不小心點出了關鍵。 兩組截然不同的數字，以及為何落差重要 這件事出來了兩組數字，而把它們當成一組看待，正是故事如何被扭曲的方式。較小的一組約為 2.5 億美元：這是由獨立機構 Grego AI 判斷、直接面臨風險的 Aptos DeFi 應用中所持有的價值。較大的那組則是 700 億美元；它只有在你沿著這個缺陷一路往外追蹤到跨鏈橋（例如 Wormhole 與 LayerZero）、穩定幣系統，以及那些交易 APT 與其封裝版本的交易所之後才會出現。 橋梁是弱點所在。橋會同時彙集多條鏈上的資產，因此在最糟的建模情境下，若從 Aptos 開始發生「偽造資產」事件，可能會把原本來自以太坊（Ethereum）的資金掏空。700 億美元是一個最壞情境下的系統性總量，建立在一連串假設之上，而不是曾經被擺在那裡等待一口氣直接搶走的現金。
| 圖表 | | --- | 代表什麼 | 來源 | | --- | --- | --- | | 2500 萬美元 | Aptos DeFi 應用中直接面臨風險的價值 | Grego AI | | 700 億美元 | 跨橋、穩定幣、交易所的最壞情境系統性風險 | Hexens | | 3000 美元 | 用伺服器模擬約三分之一驗證節點的成本 | Hexens | | 100 萬美元 | Aptos 漏洞賞金最高級距的支付額 | Aptos 漏洞賞金計畫 |
Aptos Labs 並不否認這份報告本身。它確認了 2 月 25 日透過漏洞賞金計畫發出的通知，並表示該問題已在內部進行處理。它所爭執的是嚴重性：認為在真實網路條件下，要成功利用（exploit）會比測試環境所暗示的困難得多，並把真實世界可利用性評為「極低」。這項說法正好撞上 Gupta 的獨立驗證，雙方立場在公開層面仍未達成一致。 還有一個值得點名的落差，而且與誘因（incentives）有關，而不是程式碼。賞金上限是 100 萬美元。這種等級的漏洞利用在黑市上可能會換到遠高於此的多倍金額；而 Hexens 既然即便如此仍披露了，這才正是設定賞金機制的核心目的。
| 系統性威脅（systemic-threat）解讀 | | --- | 韌性（resilience）解讀 | | --- | | 一套 3000 美元的設定可能威脅到頂級第一層（layer-1） | 數小時內已修補，未造成網路中斷 | | 核心漏洞暗示對 Move 鏈的類別風險 | Aptos 表示真實情況使得可利用性非常低 | | 一個漏洞可能延伸到橋與穩定幣資產 | 賞金引導出「白帽」結果，而非出售 |
用 APT 圖表在辯論期間做了什麼 交易者多半對此聳聳肩。根據 Coinbase 的 4 小時 Aptos/USD 圖表，透過 TradingView 取得， 7 月 7 日 APT 交投價位接近 0.635 美元，並維持在 0.6061 美元的 50 期移動平均線以及 0.6147 美元的 100 期線之上，同時在 0.6410 美元的 200 期平均線上方遇到阻力。移動平均線只是在這些 K 線期間的收盤價平均，而這種排列指向確實存在回彈，但尚未突破更大的下行趨勢：那個在 5 月中旬把 APT 從約 1.00 美元拖到約 0.55 的趨勢。
相對強弱指標（RSI）作為衡量買盤壓力的指標，範圍從 0 到 100，落在 58.77，高於中性 50 但遠未接近 70 線（該線代表市場過熱）。**CoinMarketCap **顯示 APT 在一週內上漲 9.91%，報 0.6339 美元，因此這份披露看起來更像是對市場情緒的權重，而不是引發真正賣壓的觸發器。
修補能延續到本輪新聞週期之外
建置者承擔的是短期負荷。任何在 Aptos 上執行應用的人，都有理由重新檢查自己的程式碼，如何處理 Hexens 發現的那種邊界案例；而大型投資人也可能在重新檢視網路基礎架構時，對像 APT 與 SUI 這類以 Move 為基礎的代幣維持略高的風險溢酬。
不過，當報導熱度消退後，可能會持續存在的有兩件事。第一是賞金上限。100 萬美元的上限在面對它原本想要保護的價值時，顯得越來越小，與黑市買家競爭的專案或許不得不選擇提高它。第二是研究人員實際上會去問的問題出現轉變。多年來「能推動多少交易」是炫耀的權利。此次事件讓焦點往相反的能力移動：網路能多快讓自己停下來。快速鏈正越來越需要自動化的「殺切開關（kill switches）」：一旦看起來不對勁，就立刻凍結跨鏈轉帳，因為當人類注意到問題時，交易早已完成了。
Aptos 即將拿自己來做這個實驗。一項提案計畫在他們確認之後才隱藏交易細節，這會讓前跑（front-running）更困難，目前正透過社群投票推進；同時其他升級也在追求更快的確認時間。這些改動中的每一項都會帶來速度，也會讓處於風險之下的價值變得更高——正是 Hexens 披露所顯示的那種組合，能把單一漏洞變成系統性風險。Move 接下來的安全時刻將被解讀為是安心，還是再度重來，取決於一件事：這些升級是否會像本次事件所主張的那樣，內建防護機制.a