一家安全公司披露，Aptos 这家速度最快的第一层区块链之一在被悄然修复前，曾让这一关键漏洞持续存在数月。7 月 4 日，Hexens 公开了一个漏洞：它在 2 月 25 日已私下向 Aptos 报告过——这是运行该链智能合约的引擎中的一个弱点。按其自身估计，这一缺陷在桥接、稳定币以及连接的交易所之间，可能让高达 700 亿美元的理论风险处于“可及”状态。Aptos Labs 在首次报告后的数小时内完成了修补，且从未动用任何用户资金。 那么，为什么一项已有五个月的修补措施如今才成为新闻？两个原因。第一当然是数字本身。但更重要的是其下隐藏的细节：Aptos 最主打的是原始速度，而原始速度正是把“700 亿美元”从耸人听闻的标题变成可辩护估算的关键。
一则高吞吐“战绩”打破平静，故事曝光后第二天 7 月 5 日，在报告发布后仅 24 小时出头，该项目的官方账号便按其预定的每月代币经济（tokenomics）更新继续发布：过去 30 天烧毁了 232,500 APT；单日交易量超过 1,600 万笔，创下新的季度高点；在费用于 10 倍增长之后，平均费用为 0.0005 美元，并配文“the full stack for markets and machines at work”。当你把 Hexens 的披露摆在面前时，这篇发帖读起来就完全不同了：Aptos 正在宣扬的近乎“免付费”的交易和巨大的吞吐量，正是安全研究人员在计算“链核心的单个漏洞究竟可能造成多大代价”时首先权衡的同一组特性。
Aptos 上的每一笔交易都会销毁 $APT。新月份更新：
• 30D 内烧毁 232.5K APT • 自 mainnet 起共烧毁 1.4M APT • 单日 +16M 笔交易——新的季度高点 • 费用 10x 后平均 tx 手续费 0.0005 美元
the full stack for markets and machines at work. pic.twitter.com/gPEuWzD1Qf
— Aptos (@Aptos) July 5, 2026
漏洞藏在大多数审计会检查的代码之下 Aptos 构建于 Move——一种专门为让这种攻击变得困难而设计的编程语言。Move 将代币和其他数字资产视为受保护的项目，并在交易运行时检查：没有任何内容被以错误类型进行处理。正是这种安全承诺的重要组成部分，使 Aptos 和 Sui 都把 Move 打包成比旧环境更安全的方案。 Hexens 的缺陷则是从承诺的“下面”溜了进去，而不是正面打破它。用更直白的话说，系统曾短暂地基于过时信息运行，最终把一种链上“项目”误认为另一种。安全人员称之为“类型混淆”（type confusion）：一种老旧的软件问题——程序把某个东西当成了错误的类型来读取，于是直接越过了本应用来阻止它的检查。放到区块链上，这种混淆更危险：攻击者可以把恶意项目伪装成合法项目，并诱导网络误读资产由谁拥有、谁被允许移动它。
Polygon CTO Mudit Gupta 独立审阅了该概念验证，并且告诉 CoinDesk 它按其声称的方式运行，但前提是需要一些条件先行对齐。来自另一家竞争链的安全负责人，这份背书比 Aptos 或 Hexens 任何单方面说法都更有分量。 为什么低廉手续费和巨量交易会让漏洞更糟 在这里，吞吐量不再只是营销用语，而是开始像“风险放大器”那样起作用。Hexens 在一组超过 30 个验证节点的集群上实施了该攻击——该集群被搭建用于镜像真实网络，并在一套大约花费 3,000 美元的服务器机架上运行，用来近似验证者集合的约三分之一。它在 20 次中有 17 或 18 次成功，且不需要任何内部访问或特殊权限。 把“实时数据”加进去，画面会更清晰：由于每笔交易只需一小撮美分，向链上灌入恶意载荷几乎是“近乎免费”。在一天 1,600 万笔交易、区块以秒级确认的情况下，如果攻击者能够伪造资产，那么只需一个短暂窗口就能完成资产生成并在任何人反应之前转移出去。速度是中性的；负责清算真实流量的同一套引擎，也会以同样速度清算一轮假的“铸造并转移”。而运行网络的 人类无法反应得那么快。 烧毁数据的那篇发帖意外地就把这点带了出来。
两个非常不同的数字，以及差距为何重要 这件事给出了两个数字，把它们当作一个来看，故事就会被扭曲。较小的那一个大约是 2.5 亿美元：这是独立机构 Grego AI 评估为处在“直接风险”中的 Aptos DeFi 应用价值。较大的那个是 700 亿美元：只有在你把该漏洞顺着链路向外追踪——通过 Wormhole 和 LayerZero 这样的跨链桥、稳定币系统以及交易 APT 及其包装版本的交易所——它才会出现。
桥接是最“软肋”的环节。它们会同时汇聚来自多条链的资产，因此，若某次伪造资产事件从 Aptos 开始，在最坏的建模情形下，可能会抽走原本来自以太坊的资金。700 亿美元是建立在一系列假设之上的“最坏情况总量”，而并非某一时刻就在那里等待被一把抓走的现金。
| Figure | | --- | What it represents | Source | | --- | --- | --- | | $250M | Value in Aptos DeFi apps at direct risk | Grego AI | | $70B | Worst-case systemic risk across bridges, stablecoins, exchanges | Hexens | | $3,000 | Server cost to simulate roughly a third of validators | Hexens | | $1M | Maximum Aptos bug bounty payout tier | Aptos bug bounty program |
Aptos Labs 并不否认这份报告本身。它确认了 2 月 25 日通过漏洞赏金（bug bounty）计划发出的通知，并表示该问题早已在内部被着手处理。它所争执的是严重性，理由是现实网络条件使得该漏洞利用要比测试设置所暗示的难得多，并将现实世界的可利用性定为“极低”。这一说法与 Gupta 的独立验证直接撞车，双方立场尚未在公开层面达成一致。
还有第二个值得标注的差距，它与激励有关，而非代码。赏金上限是 100 万美元。这类漏洞的利用在黑市上可能换来远高于这个数的收益；而 Hexens 即便如此仍披露了该漏洞——这正是运行赏金机制的意义所在。
| The systemic-threat reading | | --- | The resilience reading | | --- | | 一个 3,000 美元的设置可能威胁顶级的第一层 | 数小时内完成修补，无网络中断 | | 一个核心漏洞暗示 Move 链的类别风险 | Aptos 表示真实条件让可利用性非常低 | | 一个漏洞可能触及桥接与稳定币资产 | 赏金机制把结局引向了“白帽”而非出售 |
在 APT 图表尚在争论之时在做什么 交易者大多对此“耸耸肩”。在 Coinbase 的 4 小时 Aptos/USD 图表上，**经 TradingView 抓取，**APT 于 7 月 7 日接近 0.635 美元完成交接，同时持于 0.6061 的 50 周期移动均线之上，且高于 0.6147 的 100 周期线；在上方作为阻力遭遇 0.6410 的 200 周期平均线。移动平均只是对这么多根 K 线进行收盘价的平均值，而这种形态指向一种确实存在的回弹，只是尚未突破更大的下行趋势——那条下行趋势曾把 APT 从 5 月中旬的约 1.00 美元拖到约 0.55 美元。 RSI（衡量买盘压力的指标，范围从 0 到 100）为 58.77，高于中性 50 的水平，但远未接近 70 那条提示市场过热的线。**CoinMarketCap **显示 APT 本周上涨 9.91%，至 0.6339 美元，因此此次披露更像是在影响情绪权重，而非触发真实抛售。
这项修复将撑过这轮新闻周期 建设者要承担眼前的负担。任何在 Aptos 上运行应用的人都有理由重新检查其代码如何处理 Hexens 找到的这类边界情况；而大型投资者在再看一遍网络基础设施时，可能也会对像 APT 和 SUI 这样的基于 Move 的代币维持略高的风险溢价。
不过，在报道热度散去之后，可能仍会留下两点。第一是赏金上限。对于本应被保护的价值而言，100 万美元的上限看起来越来越小；与黑市买家竞争的项目别无选择，只能提高上限。第二是研究人员真正会被推动去问的那个问题发生了变化。多年来，“吹嘘权”关注的是一条链能把多少笔交易推进去。这次事件把焦点轻轻推向了相反的能力：一个网络能多快让自己停止运转。快速链越来越需要自动的“杀开关”（kill switches），一旦看起来不对劲，就立刻冻结跨链转移。因为只要人类注意到了，交易往往已经完成通过了。
Aptos 即将用自身来做这个实验。一项提案是：在确认之前先隐藏交易细节，从而让前置交易（front-running）更难；该提案正在推进社区投票，而其他升级也在追逐更快的确认时间。每一项升级都带来速度，同时也带来更大的风险与代价；Hexens 的披露已经展示，正是这种组合能够把一个单点漏洞变成系统性问题。至于 Move 的下一次安全“时刻”会被读作安慰还是会再次“翻车”，取决于一点：这些升级是否会像本次事件所支持的那样，内置具备相应的防护措施。
33.04万 热度
432.26万 热度
252.16万 热度
400.29万 热度
89.47万 热度
Aptos 漏洞：它的速度如何扩大了 $70B 风险
一家安全公司披露，Aptos 这家速度最快的第一层区块链之一在被悄然修复前，曾让这一关键漏洞持续存在数月。7 月 4 日，Hexens 公开了一个漏洞：它在 2 月 25 日已私下向 Aptos 报告过——这是运行该链智能合约的引擎中的一个弱点。按其自身估计，这一缺陷在桥接、稳定币以及连接的交易所之间，可能让高达 700 亿美元的理论风险处于“可及”状态。Aptos Labs 在首次报告后的数小时内完成了修补，且从未动用任何用户资金。 那么，为什么一项已有五个月的修补措施如今才成为新闻？两个原因。第一当然是数字本身。但更重要的是其下隐藏的细节：Aptos 最主打的是原始速度，而原始速度正是把“700 亿美元”从耸人听闻的标题变成可辩护估算的关键。
一则高吞吐“战绩”打破平静，故事曝光后第二天 7 月 5 日，在报告发布后仅 24 小时出头，该项目的官方账号便按其预定的每月代币经济（tokenomics）更新继续发布：过去 30 天烧毁了 232,500 APT；单日交易量超过 1,600 万笔，创下新的季度高点；在费用于 10 倍增长之后，平均费用为 0.0005 美元，并配文“the full stack for markets and machines at work”。当你把 Hexens 的披露摆在面前时，这篇发帖读起来就完全不同了：Aptos 正在宣扬的近乎“免付费”的交易和巨大的吞吐量，正是安全研究人员在计算“链核心的单个漏洞究竟可能造成多大代价”时首先权衡的同一组特性。
Aptos 上的每一笔交易都会销毁 $APT。新月份更新：
• 30D 内烧毁 232.5K APT
• 自 mainnet 起共烧毁 1.4M APT
• 单日 +16M 笔交易——新的季度高点
• 费用 10x 后平均 tx 手续费 0.0005 美元
the full stack for markets and machines at work. pic.twitter.com/gPEuWzD1Qf
— Aptos (@Aptos) July 5, 2026
漏洞藏在大多数审计会检查的代码之下 Aptos 构建于 Move——一种专门为让这种攻击变得困难而设计的编程语言。Move 将代币和其他数字资产视为受保护的项目，并在交易运行时检查：没有任何内容被以错误类型进行处理。正是这种安全承诺的重要组成部分，使 Aptos 和 Sui 都把 Move 打包成比旧环境更安全的方案。 Hexens 的缺陷则是从承诺的“下面”溜了进去，而不是正面打破它。用更直白的话说，系统曾短暂地基于过时信息运行，最终把一种链上“项目”误认为另一种。安全人员称之为“类型混淆”（type confusion）：一种老旧的软件问题——程序把某个东西当成了错误的类型来读取，于是直接越过了本应用来阻止它的检查。放到区块链上，这种混淆更危险：攻击者可以把恶意项目伪装成合法项目，并诱导网络误读资产由谁拥有、谁被允许移动它。
Polygon CTO Mudit Gupta 独立审阅了该概念验证，并且告诉 CoinDesk 它按其声称的方式运行，但前提是需要一些条件先行对齐。来自另一家竞争链的安全负责人，这份背书比 Aptos 或 Hexens 任何单方面说法都更有分量。 为什么低廉手续费和巨量交易会让漏洞更糟 在这里，吞吐量不再只是营销用语，而是开始像“风险放大器”那样起作用。Hexens 在一组超过 30 个验证节点的集群上实施了该攻击——该集群被搭建用于镜像真实网络，并在一套大约花费 3,000 美元的服务器机架上运行，用来近似验证者集合的约三分之一。它在 20 次中有 17 或 18 次成功，且不需要任何内部访问或特殊权限。 把“实时数据”加进去，画面会更清晰：由于每笔交易只需一小撮美分，向链上灌入恶意载荷几乎是“近乎免费”。在一天 1,600 万笔交易、区块以秒级确认的情况下，如果攻击者能够伪造资产，那么只需一个短暂窗口就能完成资产生成并在任何人反应之前转移出去。速度是中性的；负责清算真实流量的同一套引擎，也会以同样速度清算一轮假的“铸造并转移”。而运行网络的 人类无法反应得那么快。 烧毁数据的那篇发帖意外地就把这点带了出来。
两个非常不同的数字，以及差距为何重要 这件事给出了两个数字，把它们当作一个来看，故事就会被扭曲。较小的那一个大约是 2.5 亿美元：这是独立机构 Grego AI 评估为处在“直接风险”中的 Aptos DeFi 应用价值。较大的那个是 700 亿美元：只有在你把该漏洞顺着链路向外追踪——通过 Wormhole 和 LayerZero 这样的跨链桥、稳定币系统以及交易 APT 及其包装版本的交易所——它才会出现。
桥接是最“软肋”的环节。它们会同时汇聚来自多条链的资产，因此，若某次伪造资产事件从 Aptos 开始，在最坏的建模情形下，可能会抽走原本来自以太坊的资金。700 亿美元是建立在一系列假设之上的“最坏情况总量”，而并非某一时刻就在那里等待被一把抓走的现金。
| Figure | | --- | What it represents | Source | | --- | --- | --- | | $250M | Value in Aptos DeFi apps at direct risk | Grego AI | | $70B | Worst-case systemic risk across bridges, stablecoins, exchanges | Hexens | | $3,000 | Server cost to simulate roughly a third of validators | Hexens | | $1M | Maximum Aptos bug bounty payout tier | Aptos bug bounty program |
Aptos Labs 并不否认这份报告本身。它确认了 2 月 25 日通过漏洞赏金（bug bounty）计划发出的通知，并表示该问题早已在内部被着手处理。它所争执的是严重性，理由是现实网络条件使得该漏洞利用要比测试设置所暗示的难得多，并将现实世界的可利用性定为“极低”。这一说法与 Gupta 的独立验证直接撞车，双方立场尚未在公开层面达成一致。
还有第二个值得标注的差距，它与激励有关，而非代码。赏金上限是 100 万美元。这类漏洞的利用在黑市上可能换来远高于这个数的收益；而 Hexens 即便如此仍披露了该漏洞——这正是运行赏金机制的意义所在。
| The systemic-threat reading | | --- | The resilience reading | | --- | | 一个 3,000 美元的设置可能威胁顶级的第一层 | 数小时内完成修补，无网络中断 | | 一个核心漏洞暗示 Move 链的类别风险 | Aptos 表示真实条件让可利用性非常低 | | 一个漏洞可能触及桥接与稳定币资产 | 赏金机制把结局引向了“白帽”而非出售 |
在 APT 图表尚在争论之时在做什么 交易者大多对此“耸耸肩”。在 Coinbase 的 4 小时 Aptos/USD 图表上，**经 TradingView 抓取，**APT 于 7 月 7 日接近 0.635 美元完成交接，同时持于 0.6061 的 50 周期移动均线之上，且高于 0.6147 的 100 周期线；在上方作为阻力遭遇 0.6410 的 200 周期平均线。移动平均只是对这么多根 K 线进行收盘价的平均值，而这种形态指向一种确实存在的回弹，只是尚未突破更大的下行趋势——那条下行趋势曾把 APT 从 5 月中旬的约 1.00 美元拖到约 0.55 美元。
RSI（衡量买盘压力的指标，范围从 0 到 100）为 58.77，高于中性 50 的水平，但远未接近 70 那条提示市场过热的线。**CoinMarketCap **显示 APT 本周上涨 9.91%，至 0.6339 美元，因此此次披露更像是在影响情绪权重，而非触发真实抛售。
这项修复将撑过这轮新闻周期 建设者要承担眼前的负担。任何在 Aptos 上运行应用的人都有理由重新检查其代码如何处理 Hexens 找到的这类边界情况；而大型投资者在再看一遍网络基础设施时，可能也会对像 APT 和 SUI 这样的基于 Move 的代币维持略高的风险溢价。
不过，在报道热度散去之后，可能仍会留下两点。第一是赏金上限。对于本应被保护的价值而言，100 万美元的上限看起来越来越小；与黑市买家竞争的项目别无选择，只能提高上限。第二是研究人员真正会被推动去问的那个问题发生了变化。多年来，“吹嘘权”关注的是一条链能把多少笔交易推进去。这次事件把焦点轻轻推向了相反的能力：一个网络能多快让自己停止运转。快速链越来越需要自动的“杀开关”（kill switches），一旦看起来不对劲，就立刻冻结跨链转移。因为只要人类注意到了，交易往往已经完成通过了。
Aptos 即将用自身来做这个实验。一项提案是：在确认之前先隐藏交易细节，从而让前置交易（front-running）更难；该提案正在推进社区投票，而其他升级也在追逐更快的确认时间。每一项升级都带来速度，同时也带来更大的风险与代价；Hexens 的披露已经展示，正是这种组合能够把一个单点漏洞变成系统性问题。至于 Move 的下一次安全“时刻”会被读作安慰还是会再次“翻车”，取决于一点：这些升级是否会像本次事件所支持的那样，内置具备相应的防护措施。