Этичные хакеры нашли в Aptos уязвимость на $70 млрд

Компания по кибербезопасности Hexens обнаружила критическую ошибку в виртуальной машине Move блокчейна Aptos — так называемый stale-cache bug, приводящий к type-confusion уязвимости: она позволяла обойти гарантии типов и заставить сеть трактовать один тип ресурса как другой, сообщает CoinDesk. Обнаружил уязвимость Vahe Karapetyan, технический директор и сооснователь Hexens.

Чтобы проверить, насколько уязвимость опасна на практике, исследователи развернули инфраструктуру всего за $3000 — кластер из более чем 30 узлов-валидаторов с распределением ставок, близким к mainnet, и органичным транзакционным трафиком. Атака срабатывала с 90% успехом — около 17–18 удачных попыток из 20.

Прямой риск на самом Aptos оценивался в несколько миллиардов долларов, но по словам Justus Hanna, CEO Grego AI, при недобросовестном использовании злоумышленники могли бы забрать весь объём заблокированных средств, какой захотят — с учётом стейблкоинов (в первую очередь USDC через CCTP), мостов LayerZero и Wormhole, DeFi-протоколов и централизованных бирж общая цифра под риском доходила до $70 млрд.

Hexens сообщила об уязвимости через программу bug bounty 25 февраля 2026 года, на следующий день была открыта экстренная рабочая группа «SEAL911», а 27 февраля — опубликован публичный патч. В Aptos Labs заявили: «Исправление было разработано, протестировано и развёрнуто на mainnet в течение часов. Ни один пользователь или фонды не пострадали».

Другими словами: полная публичная деталировка появилась только сейчас, спустя почти пять месяцев после тихого исправления — стандартная практика для критических уязвимостей, чтобы не подсказывать атакующим рабочий эксплойт до того, как патч разойдётся по всей сети.

Это не финансовый совет — только информация к размышлению.