一家安全公司披露，Aptos 这条速度最快的第一层区块链之一，在被悄然修复前，已有数月时间携带着一个关键缺陷。7 月 4 日，Hexens 公之于众，披露其在 2 月 25 日已向 Aptos 私下报告过的漏洞：一个为这条链运行智能合约的引擎所存在的弱点——据其自身估计，该漏洞在跨链桥、稳定币以及相关交易所之间，造成了高达 700 亿美元 的理论风险。Aptos Labs 在收到最初报告后的数小时内完成修补，从未触及任何用户资金。 那么，为什么一个 5 个月前的补丁会在现在引发关注？两个原因。第一，显然是数字本身。但更关键的是补丁之下的细节：Aptos 最力营销的是“原始速度”，而“原始速度”正是将 700 亿美元 从耸动的头条变成可辩护的估算的关键所在。 突破吞吐记录的炫耀，故事曝光后的第二天 7 月 5 日，仅在报告发布后不到 24 小时，该项目的官方账号就照常发布其预定的每月代币经济学更新，称过去 30 天共烧毁 232,500 APT；单日交易量超过 1600 万笔，创下当季新高；并在费率上调 10 倍后，平均手续费为 0.0005 美元，所有内容都贴着口号“the full stack for markets and machines at work（为市场和机器运作提供完整技术栈）”。在你把 Hexens 的披露摆在眼前时，这篇帖子的阅读体验会完全不同：Aptos 所宣传的几乎“零成本”的交易与巨大的吞吐量，正是安全研究员在计算“链核心单一漏洞到底可能造成多大实际损失”时最先权衡的那些特性。
每笔 Aptos 交易都会销毁 $APT。新月度更新：
• 过去 30D 烧毁 232.5K APT • 自主网以来共销毁 1.4M APT • 当日交易量 +16M——当季新高 • 费率上调 10 倍后，平均 tx 手续费 $0.0005
the full stack for markets and machines at work. pic.twitter.com/gPEuWzD1Qf
— Aptos (@Aptos) July 5, 2026
漏洞就藏在大多数审计检查不到的地方 Aptos 基于 Move 构建，这是一种专门设计用来让这类攻击更难发生的编程语言。Move 将代币和其他数字资产视为受保护的物品，并在交易运行的当下检查：没有把任何东西当成错误类型来处理。这种安全承诺是 Aptos 和 Sui 都将 Move 作为“比旧环境更安全”的重要理由。 Hexens 的缺陷并不是正面打破这一承诺，而是从承诺之下“溜了进去”。简单来说，该系统曾短暂地基于过时信息工作，最终把一种链上物件误认为另一种。安全圈的人称之为“类型混淆（type confusion）”，这是一种老旧的软件问题：程序把某个东西读成了错误类型，随后便直接越过了本应阻止它的检查。在区块链上，这种混淆特别危险：攻击者可以伪装恶意物品为合法物品，诱使网络错误地理解某项资产的所有者是谁，以及谁被允许移动它。 Polygon CTO Mudit Gupta 独立审阅了该概念验证，并告诉 CoinDesk 它确如所称那样运行，但前提是需要先有几项条件对齐。来自一条竞争链的安全负责人，这样的话语权显然比 Aptos 或 Hexens 自己能说的任何内容都更有分量。
为什么低费率和巨量成交会让漏洞更糟 在这里，吞吐量不再只是营销用语，而开始像“风险放大器”一样发挥作用。Hexens 在一个由30 多个验证者节点组成的集群上执行了攻击，该集群被搭建用来镜像真实网络；服务器硬件成本约为 3,000 美元，用来模拟大约三分之一的验证者规模。该攻击在 20 次中有 17 或 18 次能够成功，而且不需要任何内部访问或特殊权限。 把现场数据一并考虑，情况就更清晰了。以每笔交易仅为零点几美分的成本来说，用恶意载荷去“淹没”这条链几乎是免费的。在每天 1600 万笔交易、区块在数秒内完成确认的情况下，若攻击者能够伪造资产，那么他只需一个短暂窗口，就能在任何人作出反应之前生成资产并将其转出。速度本身是中性的。清算合法交易的同一套引擎，也会以同样的速度处理一轮“伪造铸造并转移”的流程，而运行网络的人工却不可能反应得那么快。 这正是那篇“烧毁指标”帖子不小心强调到的部分。 两个截然不同的数字，以及差距为何重要 从这件事中得出了两个数字，而且把它们当成同一个数字去看，故事就会被扭曲。较小的数字大约是 2.5 亿美元：独立机构 Grego AI 评估认为处于直接风险中的 Aptos DeFi 应用中的资金价值。较大的数字是 700 亿美元——只有在你沿着缺陷把它向外追踪到跨链桥（如 Wormhole 和 LayerZero）、稳定币系统以及交易 APT 及其包装版本的交易所之后，它才会出现。 桥是最薄弱的环节。它们会把来自多条链的资产汇集在一起，因此在最坏的建模情形下，从 Aptos 发起的“伪造资产事件”可能会把原本来自以太坊（Ethereum）的资金掏空。700 亿美元 是基于一系列假设所构建的最坏情况总量，而不是一直在那里等人“一次干净利落地顺走”的现金。
| 图表 | | --- | 代表什么 | 来源 | | --- | --- | --- | | 2.5 亿美元 | Aptos DeFi 应用中处于直接风险的价值 | Grego AI | | 700 亿美元 | 跨桥、稳定币、交易所的最坏情况系统性风险 | Hexens | | 3,000 美元 | 用于模拟约三分之一验证者的服务器成本 | Hexens | | 100 万美元 | Aptos 漏洞赏金最高档位 | Aptos 漏洞赏金项目 |
Aptos Labs 并不否认这份报告本身。它确认 2 月 25 日的通知确由漏洞赏金项目所触发，并表示该问题早已在内部被处理。它所争议的是严重性，认为真实网络条件使得该漏洞的利用要比测试搭建所暗示的困难得多，并把真实世界的可利用性评为“极低”。这一说法直接撞上 Gupta 的独立验证，而双方立场在公开层面尚未得到调和。 还有第二个值得标出的差距，它与激励有关，而不是代码。赏金上限为 100 万美元。此类漏洞在黑市上可能带来远超这一数倍的收益，而 Hexens 即便如此仍然披露——这正是设置赏金的意义所在。
| 系统性威胁解读 | | --- | 韧性解读 | | 3,000 美元的设置可能威胁到顶级第一层 | 数小时内完成修补，不造成网络中断 | | 核心漏洞提示 Move 链存在类别风险 | Aptos 表示真实条件使可利用性非常低 | | 单一漏洞可能波及桥与稳定币资产 | 赏金引导了“白帽结果”，而非出售 |
APT 图表在争论进行时做了什么 交易者大多对此不以为意。在 Coinbase 的 4 小时 Aptos/USD 图表上，经由 TradingView 拉取，7 月 7 日 APT 在约 0.635 美元附近易手，且其收在 50 周期移动均线之上（0.6061 美元），以及 100 周期线之上（0.6147 美元）。与此同时，它在 200 周期均线（0.6410 美元）处遇到阻力。移动均线只是这指定数量的 K 线的收盘价均值，而这种结构指向一种真实反弹：尚未越过更大的下行趋势——那条趋势此前曾把 APT 从 5 月中旬约 1.00 美元拉到约 0.55 美元。 RSI（衡量买盘压力，取值从 0 到 100）为 58.77，位于中性 50 之上，但离 70 这条提示市场过热的线还很远。CoinMarketCap 显示 APT 在一周内上涨了 9.91%，报到 0.6339 美元，因此此次披露看起来更像情绪层面的权重，而不是触发真实抛售的直接导火索。
这条修复将比新闻周期更久 构建者正在承担短期负担。任何在 Aptos 上运行应用的人，都有理由重新检查其代码如何处理 Hexens 发现的这种边界情况；而大额投资者在再次审视网络基础时，也可能会继续对基于 Move 的代币（如 APT 和 SUI）维持略高的风险溢价。 不过，在报道热度散去之后，可能会留下两点。第一是赏金上限。对于本应被它保护的价值来说，100 万美元 的封顶显得越来越小；与黑市买家竞争的项目，或许别无选择只能上调该上限。第二是研究者实际在问的“问题”发生了转变。多年来，炫耀的资本在于一条链能推送通过多少交易。而这次事件则把焦点轻轻推向相反的能力：网络能多快让自己停止出错。快速链正越来越需要自动化的“杀开关（kill switches）”，一旦看起来哪里不对，就会在跨链转账发生的瞬间冻结它们；因为一旦人类察觉，交易往往已经完成。 Aptos 即将对自身运行这项实验。一个提案正在通过社区投票：在他们确认之后才隐藏交易细节（这会让前置交易更难）。同时，其他升级也在追逐更快的确认时间。每一项改动都会带来速度，也都会提升“风险中可能付出的价值”。Hexens 的披露已经证明，同样的组合能够把单一漏洞变成系统性问题。至于 Move 的下一个安全时刻是读作安抚还是再次爆发，取决于这些升级是否会像本次事件所论证的那样，附带相应的内置防护措施。
28.17万 热度
431.32万 热度
221.75万 热度
391.31万 热度
50.27万 热度
Aptos 漏洞：其速度如何扩大了 $70B 风险
一家安全公司披露，Aptos 这条速度最快的第一层区块链之一，在被悄然修复前，已有数月时间携带着一个关键缺陷。7 月 4 日，Hexens 公之于众，披露其在 2 月 25 日已向 Aptos 私下报告过的漏洞：一个为这条链运行智能合约的引擎所存在的弱点——据其自身估计，该漏洞在跨链桥、稳定币以及相关交易所之间，造成了高达 700 亿美元 的理论风险。Aptos Labs 在收到最初报告后的数小时内完成修补，从未触及任何用户资金。 那么，为什么一个 5 个月前的补丁会在现在引发关注？两个原因。第一，显然是数字本身。但更关键的是补丁之下的细节：Aptos 最力营销的是“原始速度”，而“原始速度”正是将 700 亿美元 从耸动的头条变成可辩护的估算的关键所在。 突破吞吐记录的炫耀，故事曝光后的第二天 7 月 5 日，仅在报告发布后不到 24 小时，该项目的官方账号就照常发布其预定的每月代币经济学更新，称过去 30 天共烧毁 232,500 APT；单日交易量超过 1600 万笔，创下当季新高；并在费率上调 10 倍后，平均手续费为 0.0005 美元，所有内容都贴着口号“the full stack for markets and machines at work（为市场和机器运作提供完整技术栈）”。在你把 Hexens 的披露摆在眼前时，这篇帖子的阅读体验会完全不同：Aptos 所宣传的几乎“零成本”的交易与巨大的吞吐量，正是安全研究员在计算“链核心单一漏洞到底可能造成多大实际损失”时最先权衡的那些特性。
每笔 Aptos 交易都会销毁 $APT。新月度更新：
• 过去 30D 烧毁 232.5K APT
• 自主网以来共销毁 1.4M APT
• 当日交易量 +16M——当季新高
• 费率上调 10 倍后，平均 tx 手续费 $0.0005
the full stack for markets and machines at work. pic.twitter.com/gPEuWzD1Qf
— Aptos (@Aptos) July 5, 2026
漏洞就藏在大多数审计检查不到的地方 Aptos 基于 Move 构建，这是一种专门设计用来让这类攻击更难发生的编程语言。Move 将代币和其他数字资产视为受保护的物品，并在交易运行的当下检查：没有把任何东西当成错误类型来处理。这种安全承诺是 Aptos 和 Sui 都将 Move 作为“比旧环境更安全”的重要理由。 Hexens 的缺陷并不是正面打破这一承诺，而是从承诺之下“溜了进去”。简单来说，该系统曾短暂地基于过时信息工作，最终把一种链上物件误认为另一种。安全圈的人称之为“类型混淆（type confusion）”，这是一种老旧的软件问题：程序把某个东西读成了错误类型，随后便直接越过了本应阻止它的检查。在区块链上，这种混淆特别危险：攻击者可以伪装恶意物品为合法物品，诱使网络错误地理解某项资产的所有者是谁，以及谁被允许移动它。 Polygon CTO Mudit Gupta 独立审阅了该概念验证，并告诉 CoinDesk 它确如所称那样运行，但前提是需要先有几项条件对齐。来自一条竞争链的安全负责人，这样的话语权显然比 Aptos 或 Hexens 自己能说的任何内容都更有分量。
为什么低费率和巨量成交会让漏洞更糟 在这里，吞吐量不再只是营销用语，而开始像“风险放大器”一样发挥作用。Hexens 在一个由30 多个验证者节点组成的集群上执行了攻击，该集群被搭建用来镜像真实网络；服务器硬件成本约为 3,000 美元，用来模拟大约三分之一的验证者规模。该攻击在 20 次中有 17 或 18 次能够成功，而且不需要任何内部访问或特殊权限。 把现场数据一并考虑，情况就更清晰了。以每笔交易仅为零点几美分的成本来说，用恶意载荷去“淹没”这条链几乎是免费的。在每天 1600 万笔交易、区块在数秒内完成确认的情况下，若攻击者能够伪造资产，那么他只需一个短暂窗口，就能在任何人作出反应之前生成资产并将其转出。速度本身是中性的。清算合法交易的同一套引擎，也会以同样的速度处理一轮“伪造铸造并转移”的流程，而运行网络的人工却不可能反应得那么快。 这正是那篇“烧毁指标”帖子不小心强调到的部分。 两个截然不同的数字，以及差距为何重要 从这件事中得出了两个数字，而且把它们当成同一个数字去看，故事就会被扭曲。较小的数字大约是 2.5 亿美元：独立机构 Grego AI 评估认为处于直接风险中的 Aptos DeFi 应用中的资金价值。较大的数字是 700 亿美元——只有在你沿着缺陷把它向外追踪到跨链桥（如 Wormhole 和 LayerZero）、稳定币系统以及交易 APT 及其包装版本的交易所之后，它才会出现。 桥是最薄弱的环节。它们会把来自多条链的资产汇集在一起，因此在最坏的建模情形下，从 Aptos 发起的“伪造资产事件”可能会把原本来自以太坊（Ethereum）的资金掏空。700 亿美元 是基于一系列假设所构建的最坏情况总量，而不是一直在那里等人“一次干净利落地顺走”的现金。
| 图表 | | --- | 代表什么 | 来源 | | --- | --- | --- | | 2.5 亿美元 | Aptos DeFi 应用中处于直接风险的价值 | Grego AI | | 700 亿美元 | 跨桥、稳定币、交易所的最坏情况系统性风险 | Hexens | | 3,000 美元 | 用于模拟约三分之一验证者的服务器成本 | Hexens | | 100 万美元 | Aptos 漏洞赏金最高档位 | Aptos 漏洞赏金项目 |
Aptos Labs 并不否认这份报告本身。它确认 2 月 25 日的通知确由漏洞赏金项目所触发，并表示该问题早已在内部被处理。它所争议的是严重性，认为真实网络条件使得该漏洞的利用要比测试搭建所暗示的困难得多，并把真实世界的可利用性评为“极低”。这一说法直接撞上 Gupta 的独立验证，而双方立场在公开层面尚未得到调和。 还有第二个值得标出的差距，它与激励有关，而不是代码。赏金上限为 100 万美元。此类漏洞在黑市上可能带来远超这一数倍的收益，而 Hexens 即便如此仍然披露——这正是设置赏金的意义所在。
| 系统性威胁解读 | | --- | 韧性解读 | | 3,000 美元的设置可能威胁到顶级第一层 | 数小时内完成修补，不造成网络中断 | | 核心漏洞提示 Move 链存在类别风险 | Aptos 表示真实条件使可利用性非常低 | | 单一漏洞可能波及桥与稳定币资产 | 赏金引导了“白帽结果”，而非出售 |
APT 图表在争论进行时做了什么 交易者大多对此不以为意。在 Coinbase 的 4 小时 Aptos/USD 图表上，经由 TradingView 拉取，7 月 7 日 APT 在约 0.635 美元附近易手，且其收在 50 周期移动均线之上（0.6061 美元），以及 100 周期线之上（0.6147 美元）。与此同时，它在 200 周期均线（0.6410 美元）处遇到阻力。移动均线只是这指定数量的 K 线的收盘价均值，而这种结构指向一种真实反弹：尚未越过更大的下行趋势——那条趋势此前曾把 APT 从 5 月中旬约 1.00 美元拉到约 0.55 美元。
RSI（衡量买盘压力，取值从 0 到 100）为 58.77，位于中性 50 之上，但离 70 这条提示市场过热的线还很远。CoinMarketCap 显示 APT 在一周内上涨了 9.91%，报到 0.6339 美元，因此此次披露看起来更像情绪层面的权重，而不是触发真实抛售的直接导火索。
这条修复将比新闻周期更久 构建者正在承担短期负担。任何在 Aptos 上运行应用的人，都有理由重新检查其代码如何处理 Hexens 发现的这种边界情况；而大额投资者在再次审视网络基础时，也可能会继续对基于 Move 的代币（如 APT 和 SUI）维持略高的风险溢价。 不过，在报道热度散去之后，可能会留下两点。第一是赏金上限。对于本应被它保护的价值来说，100 万美元 的封顶显得越来越小；与黑市买家竞争的项目，或许别无选择只能上调该上限。第二是研究者实际在问的“问题”发生了转变。多年来，炫耀的资本在于一条链能推送通过多少交易。而这次事件则把焦点轻轻推向相反的能力：网络能多快让自己停止出错。快速链正越来越需要自动化的“杀开关（kill switches）”，一旦看起来哪里不对，就会在跨链转账发生的瞬间冻结它们；因为一旦人类察觉，交易往往已经完成。 Aptos 即将对自身运行这项实验。一个提案正在通过社区投票：在他们确认之后才隐藏交易细节（这会让前置交易更难）。同时，其他升级也在追逐更快的确认时间。每一项改动都会带来速度，也都会提升“风险中可能付出的价值”。Hexens 的披露已经证明，同样的组合能够把单一漏洞变成系统性问题。至于 Move 的下一个安全时刻是读作安抚还是再次爆发，取决于这些升级是否会像本次事件所论证的那样，附带相应的内置防护措施。