Liczby mówią same za siebie: serwer za 3 000 dolarów, skuteczność ataku bliska 90 procent i potencjalny dostęp do infrastruktury wartej 70 miliardów dolarów. Takie dane opublikowała 4 lipca firma Hexens, ujawniając szczegóły krytycznej luki odkrytej w lutym 2026 roku w blockchainie Aptos.
Błąd tkwił w Move VM — warstwie wykonawczej kontraktów inteligentnych Aptos. Hexens nazwała go stale-cache bug: wadliwe buforowanie powodowało, że VM myliła typy danych, co pozwalało atakującemu odczytywać pamięć cudzych kontraktów jak własną. Pod względem powagi naukowcy porównali to do błędu na Ethereum, który umożliwiałby dowolnemu kodowi zapis w storage dowolnego kontraktu.
Na liście zagrożonych systemów znalazły się: Cross-Chain Transfer Protocol (CCTP) Circle odpowiedzialny za mintowanie USDC, klucze administracyjne mostów LayerZero i Wormhole, skarbce protokołów liquid staking oraz ścieżki kredytowania depozytów na dużych giełdach. Rodzimy TVL Aptos wynosił wtedy około 250 milionów dolarów; uwzględniając infrastrukturę mostów, Hexens oceniło ryzyko systemowe na 70 miliardów dolarów.
Hexens zgłosiła lukę 25 lutego drogą alarmową, a łatka pojawiła się w publicznym repozytorium 27 lutego. Żadne środki nie zostały utracone. Czteromiesięczne opóźnienie między naprawą a pełnym ujawnieniem jest zgodne ze standardową praktyką odpowiedzialnego ujawniania.
Dla Aptos ta historia pozostaje niewygodna mimo szczęśliwego zakończenia. Sieć buduje swoją propozycję bezpieczeństwa na języku Move, zaprojektowanym tak, by strukturalnie eliminować całe klasy podatności. Błąd na poziomie cache VM uderza w fundamenty. Sui, Movement i inne sieci oparte na Move korzystają z podobnej architektury — czy istnieje w nich analogiczna logika buforowania, to pytanie otwarte dla badaczy bezpieczeństwa w całej branży.
