| Figure |
| --- |
What it represents |
Source |
| --- | --- |
| $250M |
Value in Aptos DeFi apps at direct risk |
Grego AI |
| $70B |
Worst-case systemic risk across bridges, stablecoins, exchanges |
Hexens |
| $3,000 |
Server cost to simulate roughly a third of validators |
Hexens |
| $1M |
Maximum Aptos bug bounty payout tier |
Aptos bug bounty program |
| The systemic-threat reading |
| --- |
The resilience reading |
| --- |
| A $3,000 setup could threaten a top-tier layer-1 |
Patched within hours, no network disruption |
| A core bug hints at category risk for Move chains |
Aptos says real conditions made exploitability very low |
| One flaw could reach bridge and stablecoin assets |
The bounty steered a white-hat outcome over a sale |
Aptos 漏洞：其速度如何擴大 $70B 風險
一家安全公司揭露，Aptos——最迅速的第一層區塊鏈之一——在被悄悄修好之前，已帶著一項關鍵缺陷潛伏了數個月。 7 月 4 日，Hexens 將其在 2 月 25 日私下通報給 Aptos 的漏洞對外公開：該漏洞出在運行該鏈智慧合約的引擎上，依其自身估計，可能讓高達 700 億美元的理論風險在跨橋、穩定幣以及連動的交易所中被納入情境。Aptos Labs 在接到首份通報後數小時內便完成了修補，且從未觸及任何用戶資金。 那麼，為何一項已過五個月的修補如今才成為新聞？理由有二。當然，第一是數字本身。但更重要的是其底下的細節：Aptos 最大力行銷的是純粹速度，而純粹速度正是讓 700 億美元的「驚嚇型」標題，能轉化為可辯護的估算。 一次高吞吐量的炫耀，故事曝光後的隔天 7 月 5 日，報告曝光後僅不到 24 小時，該專案的官方帳號就照常發布其預定的每月 tokenomics 更新，內容包括：過去 30 天燒毀了 232,500 APT；單日交易量超過 1,600 萬筆，創下最新一季的新高；在進行十倍費率調升後，平均手續費降至 0.0005 美元；整體發布口號是「the full stack for markets and machines at work」。一旦你把 Hexens 的披露擺在眼前，這篇貼文讀起來就截然不同了，因為 Aptos 正在宣傳的「近乎免費交易」與「驚人的吞吐量」——正是安全研究人員在評估鏈核心單一漏洞可能造成的實際成本時，最先衡量的特性。
Aptos 上的每筆交易都會燒毀 $APT。新月份更新：
• 過去 30D 燒毀 232.5K APT
• 自主網以來共燒毀 1.4M APT
• 單日交易量 +16M——創下新季度高點
• 自 10 倍費率調增後平均 tx 手續費 $0.0005
the full stack for markets and machines at work. pic.twitter.com/gPEuWzD1Qf
— Aptos (@Aptos) July 5, 2026
漏洞藏在多數稽核檢查不到的地方 Aptos 是建立在 Move 上的，這是一種專門設計用來讓這類攻擊變得困難的程式語言。Move 會把代幣與其他數位資產視為受保護項目，並在交易執行當下檢查：沒有任何被以錯誤類型方式處理的情況。這項安全承諾是 Aptos 與 Sui 兩者都把 Move 標榜得比較舊環境更安全的重要原因。 Hexens 的瑕疵則是從該承諾底下「滑過去」，而不是直接打破它。用最簡單的說法，系統短暫地依據過時資訊運作，最後卻把一種鏈上項目誤認成另一種。安全圈的人稱那叫「類型混淆」（type confusion）：一個老牌軟體問題，即程式把某些東西讀成了錯誤類型，然後就直接從本該阻止它的檢查旁邊走過去了。在區塊鏈上，這種混淆很危險：攻擊者可能偽裝惡意項目為合法項目，並誘使網路誤判資產擁有者是誰、又是誰被允許移動它。
Polygon 的 CTO Mudit Gupta 獨立審閱了概念驗證，並且 告訴 CoinDesk 它確實如所稱般運作，但前提是得先讓幾個條件對上。身為另一條競爭鏈的資安主管，這比起 Aptos 或 Hexens 自己能說的任何內容，都更具權重。 為何低廉費用與大量流量會讓漏洞更糟 在這裡，吞吐量不再只是行銷用語，而是開始像風險放大器一樣運作。Hexens 在一組超過 30 個驗證節點的集群上執行攻擊，這些節點被設置用來鏡像真正的網路，並放在一套約 3,000 美元成本的伺服器設備上，用來代表驗證者集的一大約三分之一。結果是：在 20 次嘗試中有 17 或 18 次成功，且不需要內部存取或任何特殊權限。 把即時數字融入後，畫面會更加銳利。每筆交易只要一小撮美分，往鏈上傾倒惡意載荷幾乎等同免費。當天有 1,600 萬筆交易、區塊能在數秒內完成確認時，若攻擊者能偽造資產，他們只需要很短的窗口就能生成資產並在任何人反應之前把它們轉移出去。速度是中性的。能在數秒內清走合法流量的同一套引擎，也會用同樣速度清走一場「偽造鑄造並轉移」的行程，而操作網路的人類不可能反應得那麼快。 那就是這篇燒毀指標貼文不小心點出的部分。
兩組截然不同的數字，為何差距很重要 這裡出現了兩個數字，若把它們當成同一件事，故事就會被扭曲。較小的那個約是 2.5 億美元：由獨立機構 Grego AI 判斷，存在直接風險的 Aptos DeFi 應用價值。較大的則是 700 億美元：它只有在你沿著漏洞向外追蹤到跨鏈橋（例如 Wormhole 和 LayerZero）、穩定幣系統，以及交易 APT 與其包裝版本的交易所之後才會出現。 橋樑是弱點中的弱點。它們會把來自多條鏈的資產集中在一起，因此在最壞情境的模型假設下，起源於 Aptos 的一次偽造資產事件可能會掏空原本來自以太坊（Ethereum）的資金。700 億美元是一套最壞情境的總體估計，由一連串假設堆疊而成，並不是曾經就放在那裡等人一次乾淨拿走的現金。
| Figure | | --- | What it represents | Source | | --- | --- | | $250M | Value in Aptos DeFi apps at direct risk | Grego AI | | $70B | Worst-case systemic risk across bridges, stablecoins, exchanges | Hexens | | $3,000 | Server cost to simulate roughly a third of validators | Hexens | | $1M | Maximum Aptos bug bounty payout tier | Aptos bug bounty program |
Aptos Labs 並不否認這份報告本身。它確認了 2 月 25 日透過利賞金計畫（bug bounty program）的通知，並表示該問題早已在內部被處理。它所爭執的是嚴重性，主張由於真實網路條件，使得該漏洞的利用比測試設定所暗示得更難，並把「現實可利用性」評為「極低」。這項說法正面撞上 Gupta 的獨立驗證，而雙方立場至今尚未在公開層面達成一致。 還有一個值得標記的第二個落差，而且更關乎誘因而非程式碼。利賞金上限為 1,000,000 美元。這種型態的漏洞在黑市上可能會賣到其數倍，而 Hexens 即便如此仍已披露——這正是執行利賞金計畫的核心目的。
| The systemic-threat reading | | --- | The resilience reading | | --- | | A $3,000 setup could threaten a top-tier layer-1 | Patched within hours, no network disruption | | A core bug hints at category risk for Move chains | Aptos says real conditions made exploitability very low | | One flaw could reach bridge and stablecoin assets | The bounty steered a white-hat outcome over a sale |
在辯論進行時，APT 的走勢圖在做什麼 交易者大多已對此「聳聳肩」帶過。在 Coinbase 的 4 小時 Aptos/USD 圖表上，**透過 TradingView 取得，**APT 在 7 月 7 日附近的易手價在 0.635 美元左右，並且仍高於其 50 期移動平均線 0.6061 以及其 100 期線 0.6147；同時在 200 期均線 0.6410 附近遇到阻力。移動平均線只是這些 K 線的收盤價平均，而這個配置指向一個正在發生的回彈，但尚未突破更大的下行趨勢——那條趨勢把 APT 從 5 月中旬的約 1.00 美元拖到了約 0.55。
RSI（衡量買盤壓力、範圍從 0 到 100）停在 58.77，高於中性 50，但遠未到 70 這條代表市場過熱的線。**CoinMarketCap **顯示 APT 在一週內上漲了 9.91%，報價 0.6339 美元，因此這次披露看起來更像是對市場情緒施加了壓力，而不是引發真實的拋售觸發器。
這則修復能撐過本次新聞週期 建設者要承擔短期的壓力。任何在 Aptos 上執行應用的人，都有理由去重新檢查自己的程式碼如何處理 Hexens 找到的這種邊界情況；而大型投資人也可能在再度審視網路基礎之後，對像 APT 與 SUI 這類基於 Move 的代幣維持一點點更高的風險溢價。 不過，報導逐漸淡出之後，可能會留下兩個東西。第一是利賞金上限。當它要保護的價值越來越顯得巨大時，1,000,000 美元的上限就越來越顯得渺小；與黑市買家競爭的專案，可能幾乎別無選擇只能提高它。第二是研究人員真正提問的焦點轉移。多年來，吹噓的都是一條鏈能夠推進多少筆交易。這次事件則把焦點往另一項能力推了一步：一個網路能多快把自己停下來。快鏈越來越需要自動的「kill switches」（熔斷開關），一旦看起來有什麼不對勁，就立刻凍結跨鏈轉帳，因為一旦人類察覺，交易早就已經完成過了。 Aptos 即將在自己身上跑一個實驗。提出在他們確認之後才隱藏交易細節的方案（這會讓前置交易更難），已在社群投票中逐步推進；而其他升級則追求更快的確認時間。這些每一項都同時帶來速度，也讓可能在其中被攤上的價值上升——正是 Hexens 的披露所展現的那組組合：它能把單一漏洞變成系統性問題。Move 接下來的安全時刻，到底是被讀成「安慰」還是「重演」，取決於一件事：這些升級是否會隨附本次事件所力證的那種內建防護措施。a