Los números son contundentes: un servidor de $3.000, una tasa de éxito del 90% y acceso potencial a $70.000 millones en infraestructura cripto. Eso es lo que la firma de seguridad Hexens documentó en febrero de 2026 y divulgó el 4 de julio, describiendo un fallo crítico hallado en la blockchain Aptos.
El error residía en la Move VM, la capa de ejecución de contratos inteligentes de Aptos. Hexens lo denominó stale-cache bug: un fallo de caché hacía que la VM confundiera tipos de datos, permitiendo que código atacante accediera al almacenamiento de otros contratos como si fuera propio. En gravedad, los investigadores lo compararon con un bug de Ethereum que dejaría a código arbitrario escribir en el storage de cualquier contrato.
Los sistemas accesibles incluían el Cross-Chain Transfer Protocol de Circle para USDC, las claves administrativas de los puentes LayerZero y Wormhole, bóvedas de liquid staking y canales de acreditación de depósitos en grandes exchanges centralizados. El TVL nativo de Aptos era de unos $250 millones; contando infraestructura de bridges, Hexens cifró el riesgo sistémico en $70.000 millones.
La vulnerabilidad fue reportada el 25 de febrero. El parche llegó al repositorio público el 27 de febrero. Ningún fondo se perdió. La divulgación completa cuatro meses después sigue el protocolo estándar de divulgación responsable.
Para Aptos, el episodio es incómodo aunque haya terminado bien. Su propuesta de seguridad se centra en Move, diseñado para eliminar estructuralmente clases enteras de vulnerabilidades. Un fallo en la capa de caché de la VM golpea los cimientos. Sui, Movement y otras redes Move usan implementaciones similares — si tienen lógica de caché análoga es ahora una pregunta abierta para los investigadores de todo el sector.
