Les chiffres parlent d'eux-mêmes : un serveur à 3 000 dollars, un taux de réussite proche de 90 % et un accès potentiel à 70 milliards de dollars d'infrastructure crypto. C'est ce que la société Hexens a documenté en février 2026 et rendu public le 4 juillet en décrivant une faille critique découverte dans la blockchain Aptos.
Le bug se trouvait dans la Move VM, la couche d'exécution des contrats intelligents d'Aptos. Hexens l'a qualifié de stale-cache bug : une gestion défectueuse du cache amenait la VM à confondre des types de données, permettant au code d'un attaquant d'accéder au stockage de contrats tiers comme s'il lui appartenait. En termes de gravité, les chercheurs ont comparé cette faille à un bug Ethereum permettant à du code arbitraire d'écrire dans le storage de n'importe quel contrat.
Les systèmes exposés incluaient le Cross-Chain Transfer Protocol (CCTP) de Circle pour l'USDC, les clés d'administration des ponts LayerZero et Wormhole, les coffres de liquid staking et les voies de crédit de dépôts sur les grandes plateformes centralisées. Le TVL natif d'Aptos s'établissait à environ 250 millions de dollars ; en comptant l'infrastructure de bridges, Hexens a évalué le risque systémique à 70 milliards.
La vulnérabilité a été signalée le 25 février par canaux d'urgence ; le correctif a été intégré le 27 février. Aucun fonds n'a été perdu. La divulgation complète quatre mois après le correctif suit le protocole standard de divulgation responsable.
Pour Aptos, l'épisode est gênant malgré le dénouement favorable. La proposition de sécurité du réseau repose sur Move, un langage conçu pour rendre structurellement impossibles des catégories entières de vulnérabilités. Une faille au niveau du cache de la VM touche les fondations. Sui, Movement et d'autres réseaux Move utilisent une architecture similaire — la question de savoir si une logique de cache comparable y existe est désormais ouverte pour les chercheurs du secteur.
