Die Zahlen sind eindeutig: ein Server fuer 3.000 Dollar, eine Erfolgsquote von knapp 90 Prozent und potenzieller Zugriff auf Infrastruktur im Wert von 70 Milliarden Dollar. Das dokumentierte Hexens im Februar 2026 und veroeffentlichte die Details am 4. Juli — eine kritische Schwachstelle in der Aptos-Blockchain.
Der Bug steckte in der Move VM, der Ausfuehrungsschicht fuer Smart Contracts auf Aptos. Hexens bezeichnete ihn als Stale-Cache-Bug: Fehlerhaftes Caching liess die VM Datentypen verwechseln, sodass Angreifer-Code auf den Speicher fremder Contracts zugreifen konnte, als waere es der eigene. In puncto Schweregrad verglichen die Forscher ihn mit einem Ethereum-Bug, der beliebigem Code das Schreiben in den Storage eines beliebigen Contracts erlauben wuerde.
Die gefaehrdeten Systeme waren konkret: Circles Cross-Chain Transfer Protocol (CCTP) fuer USDC-Minting, die Administrations-Keys der Bridges LayerZero und Wormhole, Liquid-Staking-Protokolle sowie Gutschriftspfade an grossen zentralisierten Boersen. Der native TVL von Aptos betrug damals rund 250 Millionen Dollar; unter Beruecksichtigung der Bridge-Infrastruktur schaetzte Hexens das systemische Risiko auf 70 Milliarden Dollar.
Hexens meldete die Luecke am 25. Februar ueber Notfallkanaele; der Patch erschien am 27. Februar im oeffentlichen Repository. Es gingen keine Gelder verloren. Die vollstaendige Offenlegung vier Monate nach dem Patch entspricht der Praxis des verantwortungsvollen Umgangs mit Sicherheitsluecken.
Fuer Aptos ist die Geschichte unangenehm, auch wenn sie gut ausging. Das Netzwerk setzt in seiner Sicherheitsstrategie auf Move, eine Sprache, die ganze Klassen von Schwachstellen strukturell ausschliessen soll. Ein Fehler auf der Cache-Ebene der VM trifft das Fundament. Sui, Movement und andere Move-Netzwerke nutzen aehnliche VM-Architekturen — ob dort vergleichbare Caching-Logik existiert, ist nun eine offene Frage fuer Sicherheitsforscher der gesamten Branche.
