一家安全公司透露，Aptos， 作为最快的 Layer-1 区块链之一，存在一个严重漏洞长达数月之久，直到被悄悄修复。7 月 4 日，Hexens 公开了一个它早在 2 月 25 日就私下报告给 Aptos 的漏洞，该漏洞存在于运行链上智能合约的引擎中，据其估计，在跨链桥、稳定币和关联交易所中，理论上可能涉及高达 700 亿美元的风险。Aptos Labs 在收到首次报告后的数小时内就修补了该漏洞，且从未涉及用户资金。 那么，为什么一个五个月前就已修补的漏洞现在成为了新闻？两个原因。显然，是数字本身。此外，还有其背后的细节：Aptos 最强调的特性是原始速度，而正是原始速度将 700 亿美元从一个耸人听闻的标题变成了一个可辩护的估计。 创纪录的吞吐量宣传，在报道爆出一天后 7 月 5 日，也就是报道发布仅 24 小时后，该项目官方账号按计划发布了月度代币经济学更新，报告称过去 30 天内销毁了 232,500 APT，单日交易量超过 1600 万笔，创下季度新高，手续费在上涨十倍后平均为 0.0005 美元，口号是“市场和机器运行的完整堆栈”。如果你看过 Hexens 的披露，再看这条推文，感觉会截然不同，因为 Aptos 所推广的近乎零成本的交易和巨大的吞吐量，正是安全研究人员在计算链核心单一漏洞可能造成多大损失时首先权衡的属性。
Aptos 上的每笔交易都会销毁 $APT。新月份更新：
• 过去 30 天销毁 232,500 APT • 自主网上线以来共销毁 140 万 APT • 单日交易量超过 1600 万笔——季度新高 • 自手续费上涨 10 倍后平均交易费为 0.0005 美元
市场和机器运行的完整堆栈。pic.twitter.com/gPEuWzD1Qf
— Aptos (@Aptos) 2026 年 7 月 5 日
漏洞存在于大多数审计检查的代码之下 Aptos 基于 Move 构建，这是一种专门为防范此类攻击而设计的编程语言。Move 将代币和其他数字资产视为受保护物品，并在交易执行时检查没有任何东西被错误地处理为错误的类型。这一安全承诺是 Aptos 和 Sui 都将 Move 宣传为比旧环境更安全的重要原因。 Hexens 发现的漏洞绕过了这一承诺，而非正面突破。简单来说，系统短暂地基于过时信息运行，最终将一种链上物品误认为是另一种。安全专家称之为“类型混淆”，这是一个古老的软件问题，程序将某物读取为错误类型，从而绕过旨在阻止它的检查。在区块链上，这种混淆很危险：攻击者可以将恶意物品伪装成合法物品，诱骗网络错误识别谁拥有资产以及谁有权转移它。 Polygon CTO Mudit Gupta 独立审查了概念验证，并告诉 CoinDesk 它按预期运行，但附加条件是必须满足一些前提条件。来自竞争对手链的安全负责人，其评价比 Aptos 或 Hexens 自己的说法更有分量。 为什么低廉的手续费和巨大的交易量使漏洞更严重 吞吐量在这里不再是一个营销口号，而开始充当风险倍增器。Hexens 在由 30 多个验证节点组成的集群上运行了攻击，该集群旨在模拟真实网络，使用的服务器设备成本约为 3000 美元，代表了大约三分之一的验证节点集。攻击在 20 次中成功了 17 到 18 次，无需内部访问权限或特殊权限。 结合实时数据，情况更加清晰。每笔交易成本不到一美分，向链上充斥恶意负载几乎零成本。每天 1600 万笔交易，区块在数秒内确认，一个能够伪造资产的攻击者只需要很短的时间窗口来创建资产并在任何人反应之前将其转移出去。速度是中性的。清除合法交易的同一引擎也会以相同的速度清除伪造的铸造和转移运行，而运行网络的人类无法如此迅速地做出反应。 这正是销毁指标那条推文无意中强调的部分。 两个截然不同的数字，以及为什么差距很重要 这次事件产生了两个数字，如果将它们视为同一个，就会扭曲事实。较小的数字约为 2.5 亿美元，这是独立公司 Grego AI 判断为直接风险的 Aptos DeFi 应用中持有的价值。较大的数字是 700 亿美元，只有当你顺着漏洞追踪，通过 Wormhole 和 LayerZero 等跨链桥、稳定币系统以及交易 APT 及其封装版本的交易所时，这个数字才会出现。 跨链桥是薄弱环节。它们同时汇集来自多条链的资产，因此，在假定的最坏情况下，从 Aptos 开始的伪造资产事件可能会耗尽原本来自以太坊的资金。700 亿美元是基于一系列假设构建的最坏情况总数，并非实际存在且可以一次性获取的现金。
| 数值 | | --- | 含义 | 来源 | | --- | --- | --- | | 2.5 亿美元 | Aptos DeFi 应用中处于直接风险的价值 | Grego AI | | 700 亿美元 | 跨链桥、稳定币、交易所的最坏情况系统性风险 | Hexens | | 3000 美元 | 模拟约三分之一验证节点的服务器成本 | Hexens | | 100 万美元 | Aptos 漏洞赏金最高支付等级 | Aptos 漏洞赏金计划 |
Aptos Labs 并未否认报告本身。它确认了 2 月 25 日通过漏洞赏金计划收到的通知，并表示该问题已在内部处理中。它质疑的是严重性，认为真实网络条件使得利用该漏洞比测试环境所暗示的困难得多，并将真实世界的可利用性判定为“极低”。这一说法直接遇到了 Gupta 的独立验证，双方立场尚未在公开场合得到调和。 还有第二个差距值得指出，这涉及激励而非代码。赏金上限为 100 万美元。这类漏洞在黑市上的价值会是其许多倍，而 Hexens 仍然选择披露，这正是运行赏金计划的意义所在。
| 系统性威胁解读 | | --- | 韧性解读 | | --- | --- | | 3000 美元的设备可能威胁顶级 Layer-1 | 数小时内修补，无网络中断 | | 核心漏洞暗示 Move 链存在类别风险 | Aptos 表示真实条件使可利用性极低 | | 一个漏洞可能波及跨链桥和稳定币资产 | 赏金计划引导了白帽结果而非私下出售 |
争论进行时 APT 图表在做什么 交易员大多对此不予理会。在来自 Coinbase 的 4 小时 Aptos/USD 图表上，通过 TradingView 获取， APT 在 7 月 7 日交易价格接近 0.635 美元，保持在 50 周期移动平均线（0.6061 美元）和 100 周期线（0.6147 美元）之上，同时在 200 周期平均线（0.6410 美元）处遇到阻力。移动平均线只是该周期内收盘价的平均值，这种布局表明存在一次真正的反弹，但尚未突破更大的下行趋势，后者将 APT 从 5 月中旬的大约 1.00 美元拖至约 0.55 美元。 RSI（衡量买入压力的指标，范围从 0 到 100）为 58.77，高于中性 50 点，但远未达到 70 线（表明市场过热）。CoinMarketCap 显示 APT 本周上涨 9.91%，至 0.6339 美元，因此该披露似乎是对市场情绪的一个压力因素，而非引发真正抛售的导火索。 能超越这轮新闻周期的修复方案 建设者承受着近期压力。任何在 Aptos 上运行应用的人都有理由重新检查其代码如何处理 Hexens 发现的此类边缘情况，大型投资者在重新审视网络基础时，可能会对基于 Move 的代币（如 APT 和 SUI）保持略高的风险溢价。 不过，有两件事可能会在报道热度消退后继续存在。第一是赏金上限。100 万美元的上限与其旨在保护的价值相比，显得越来越小，与黑市买家竞争的项目可能别无选择，只能提高上限。第二是研究人员实际提出问题的转变。多年来，吹嘘的资本在于一条链能处理多少笔交易。此次事件将焦点转向了相反的能力：网络自身停止的速度有多快。快速链越来越需要自动的“紧急开关”，以便在出现异常时立即冻结跨链转移，因为一旦人类注意到，交易已经完成了。 Aptos 即将在自己身上进行这个实验。一项旨在隐藏交易详情直到确认后的提案（这将使抢先交易更难）已在社区投票中进行，而其他升级则追求更快的确认时间。每一个升级都增加了速度，也增加了风险价值，正是 Hexens 披露中显示的将单一漏洞转化为系统性漏洞的组合。Move 的下一次安全事件是令人安心还是重蹈覆辙，取决于一件事：这些升级是否伴随着本轮事件所呼吁的那种内置安全保障。
81.95万 热度
101.05万 热度
11.73万 热度
18.39万 热度
32.07万 热度
Aptos 漏洞：其速度如何扩大了 $70B 风险
一家安全公司透露，Aptos， 作为最快的 Layer-1 区块链之一，存在一个严重漏洞长达数月之久，直到被悄悄修复。7 月 4 日，Hexens 公开了一个它早在 2 月 25 日就私下报告给 Aptos 的漏洞，该漏洞存在于运行链上智能合约的引擎中，据其估计，在跨链桥、稳定币和关联交易所中，理论上可能涉及高达 700 亿美元的风险。Aptos Labs 在收到首次报告后的数小时内就修补了该漏洞，且从未涉及用户资金。 那么，为什么一个五个月前就已修补的漏洞现在成为了新闻？两个原因。显然，是数字本身。此外，还有其背后的细节：Aptos 最强调的特性是原始速度，而正是原始速度将 700 亿美元从一个耸人听闻的标题变成了一个可辩护的估计。 创纪录的吞吐量宣传，在报道爆出一天后 7 月 5 日，也就是报道发布仅 24 小时后，该项目官方账号按计划发布了月度代币经济学更新，报告称过去 30 天内销毁了 232,500 APT，单日交易量超过 1600 万笔，创下季度新高，手续费在上涨十倍后平均为 0.0005 美元，口号是“市场和机器运行的完整堆栈”。如果你看过 Hexens 的披露，再看这条推文，感觉会截然不同，因为 Aptos 所推广的近乎零成本的交易和巨大的吞吐量，正是安全研究人员在计算链核心单一漏洞可能造成多大损失时首先权衡的属性。
Aptos 上的每笔交易都会销毁 $APT。新月份更新：
• 过去 30 天销毁 232,500 APT
• 自主网上线以来共销毁 140 万 APT
• 单日交易量超过 1600 万笔——季度新高
• 自手续费上涨 10 倍后平均交易费为 0.0005 美元
市场和机器运行的完整堆栈。pic.twitter.com/gPEuWzD1Qf
— Aptos (@Aptos) 2026 年 7 月 5 日
漏洞存在于大多数审计检查的代码之下 Aptos 基于 Move 构建，这是一种专门为防范此类攻击而设计的编程语言。Move 将代币和其他数字资产视为受保护物品，并在交易执行时检查没有任何东西被错误地处理为错误的类型。这一安全承诺是 Aptos 和 Sui 都将 Move 宣传为比旧环境更安全的重要原因。 Hexens 发现的漏洞绕过了这一承诺，而非正面突破。简单来说，系统短暂地基于过时信息运行，最终将一种链上物品误认为是另一种。安全专家称之为“类型混淆”，这是一个古老的软件问题，程序将某物读取为错误类型，从而绕过旨在阻止它的检查。在区块链上，这种混淆很危险：攻击者可以将恶意物品伪装成合法物品，诱骗网络错误识别谁拥有资产以及谁有权转移它。 Polygon CTO Mudit Gupta 独立审查了概念验证，并告诉 CoinDesk 它按预期运行，但附加条件是必须满足一些前提条件。来自竞争对手链的安全负责人，其评价比 Aptos 或 Hexens 自己的说法更有分量。 为什么低廉的手续费和巨大的交易量使漏洞更严重 吞吐量在这里不再是一个营销口号，而开始充当风险倍增器。Hexens 在由 30 多个验证节点组成的集群上运行了攻击，该集群旨在模拟真实网络，使用的服务器设备成本约为 3000 美元，代表了大约三分之一的验证节点集。攻击在 20 次中成功了 17 到 18 次，无需内部访问权限或特殊权限。 结合实时数据，情况更加清晰。每笔交易成本不到一美分，向链上充斥恶意负载几乎零成本。每天 1600 万笔交易，区块在数秒内确认，一个能够伪造资产的攻击者只需要很短的时间窗口来创建资产并在任何人反应之前将其转移出去。速度是中性的。清除合法交易的同一引擎也会以相同的速度清除伪造的铸造和转移运行，而运行网络的人类无法如此迅速地做出反应。 这正是销毁指标那条推文无意中强调的部分。 两个截然不同的数字，以及为什么差距很重要 这次事件产生了两个数字，如果将它们视为同一个，就会扭曲事实。较小的数字约为 2.5 亿美元，这是独立公司 Grego AI 判断为直接风险的 Aptos DeFi 应用中持有的价值。较大的数字是 700 亿美元，只有当你顺着漏洞追踪，通过 Wormhole 和 LayerZero 等跨链桥、稳定币系统以及交易 APT 及其封装版本的交易所时，这个数字才会出现。 跨链桥是薄弱环节。它们同时汇集来自多条链的资产，因此，在假定的最坏情况下，从 Aptos 开始的伪造资产事件可能会耗尽原本来自以太坊的资金。700 亿美元是基于一系列假设构建的最坏情况总数，并非实际存在且可以一次性获取的现金。
| 数值 | | --- | 含义 | 来源 | | --- | --- | --- | | 2.5 亿美元 | Aptos DeFi 应用中处于直接风险的价值 | Grego AI | | 700 亿美元 | 跨链桥、稳定币、交易所的最坏情况系统性风险 | Hexens | | 3000 美元 | 模拟约三分之一验证节点的服务器成本 | Hexens | | 100 万美元 | Aptos 漏洞赏金最高支付等级 | Aptos 漏洞赏金计划 |
Aptos Labs 并未否认报告本身。它确认了 2 月 25 日通过漏洞赏金计划收到的通知，并表示该问题已在内部处理中。它质疑的是严重性，认为真实网络条件使得利用该漏洞比测试环境所暗示的困难得多，并将真实世界的可利用性判定为“极低”。这一说法直接遇到了 Gupta 的独立验证，双方立场尚未在公开场合得到调和。 还有第二个差距值得指出，这涉及激励而非代码。赏金上限为 100 万美元。这类漏洞在黑市上的价值会是其许多倍，而 Hexens 仍然选择披露，这正是运行赏金计划的意义所在。
| 系统性威胁解读 | | --- | 韧性解读 | | --- | --- | | 3000 美元的设备可能威胁顶级 Layer-1 | 数小时内修补，无网络中断 | | 核心漏洞暗示 Move 链存在类别风险 | Aptos 表示真实条件使可利用性极低 | | 一个漏洞可能波及跨链桥和稳定币资产 | 赏金计划引导了白帽结果而非私下出售 |
争论进行时 APT 图表在做什么 交易员大多对此不予理会。在来自 Coinbase 的 4 小时 Aptos/USD 图表上，通过 TradingView 获取， APT 在 7 月 7 日交易价格接近 0.635 美元，保持在 50 周期移动平均线（0.6061 美元）和 100 周期线（0.6147 美元）之上，同时在 200 周期平均线（0.6410 美元）处遇到阻力。移动平均线只是该周期内收盘价的平均值，这种布局表明存在一次真正的反弹，但尚未突破更大的下行趋势，后者将 APT 从 5 月中旬的大约 1.00 美元拖至约 0.55 美元。
RSI（衡量买入压力的指标，范围从 0 到 100）为 58.77，高于中性 50 点，但远未达到 70 线（表明市场过热）。CoinMarketCap 显示 APT 本周上涨 9.91%，至 0.6339 美元，因此该披露似乎是对市场情绪的一个压力因素，而非引发真正抛售的导火索。
能超越这轮新闻周期的修复方案
建设者承受着近期压力。任何在 Aptos 上运行应用的人都有理由重新检查其代码如何处理 Hexens 发现的此类边缘情况，大型投资者在重新审视网络基础时，可能会对基于 Move 的代币（如 APT 和 SUI）保持略高的风险溢价。
不过，有两件事可能会在报道热度消退后继续存在。第一是赏金上限。100 万美元的上限与其旨在保护的价值相比，显得越来越小，与黑市买家竞争的项目可能别无选择，只能提高上限。第二是研究人员实际提出问题的转变。多年来，吹嘘的资本在于一条链能处理多少笔交易。此次事件将焦点转向了相反的能力：网络自身停止的速度有多快。快速链越来越需要自动的“紧急开关”，以便在出现异常时立即冻结跨链转移，因为一旦人类注意到，交易已经完成了。
Aptos 即将在自己身上进行这个实验。一项旨在隐藏交易详情直到确认后的提案（这将使抢先交易更难）已在社区投票中进行，而其他升级则追求更快的确认时间。每一个升级都增加了速度，也增加了风险价值，正是 Hexens 披露中显示的将单一漏洞转化为系统性漏洞的组合。Move 的下一次安全事件是令人安心还是重蹈覆辙，取决于一件事：这些升级是否伴随着本轮事件所呼吁的那种内置安全保障。