Celah di Aptos Disebut Berpotensi Picu Risiko Sistemik US$70 Miliar

Dua peretas etis menunjukkan bahwa konfigurasi server senilai sekitar US$3.000 dapat menjadi jalur serangan untuk berpotensi mengganggu salah satu blockchain Layer-1 kripto dengan pendanaan besar. Kerentanan yang mereka temukan berada di Move virtual machine (Move VM) milik Aptos dan dinilai membawa risiko sistemik sekitar US$70 miliar, mencakup stablecoin, protokol DeFi, jembatan lintas-chain, hingga jalur yang terhubung ke bursa terpusat. Perusahaan keamanan blockchain Hexens melaporkan temuan yang mereka sebut sebagai "stalecache bug" pada 25 Februari 2026. Menurut Hexens, celah pada mesin virtual yang mengeksekusi smart contract di Aptos memunculkan kerentanan type-confusion, yakni kondisi ketika sistem keliru mengidentifikasi tipe data. Dalam skenario terburuk, hal ini bisa membuka peluang pengambilalihan sumber daya on-chain yang krusial, termasuk izin pencetakan (minting) dan sistem kontrol bridge. Dalam simulasi Hexens, jalur serangan tersebut dinilai efisien. Dengan infrastruktur server sekitar US$3.000, mereka mencatat tingkat keberhasilan mendekati 90%, yakni 17 dari 20 percobaan simulasi. CTO Polygon, Mudit Gupta, disebut melakukan validasi independen atas proof-of-concept kerentanan tersebut, memperkuat kredibilitas temuan Hexens. Hexens menaksir nilai risiko sistemik mencapai US$70 miliar. Angka ini bukan mencerminkan total value locked (TVL) langsung Aptos; firma penilaian keamanan Grego AI memperkirakan TVL Aptos sekitar US$250 juta. Penilaian US$70 miliar merujuk pada potensi dampak berantai di ekosistem, mulai dari stablecoin yang bergantung pada infrastruktur Aptos, protokol DeFi yang dibangun di atasnya, jembatan lintas-chain yang menghubungkan ke jaringan lain, hingga jalur yang digunakan bursa terpusat. Aptos Labs menolak penilaian tingkat keparahan tersebut. Mereka menyatakan bahwa bug itu memiliki tingkat eksploitasi yang rendah dalam skenario praktis di mainnet yang sudah berjalan. Aptos Labs menambal kerentanan di mainnet dua hari setelah ditemukan, pada 27 Februari. Tidak ada dana yang dilaporkan hilang. Pengungkapan dilakukan secara terkoordinasi melalui kanal darurat SEAL911, dan empat proyek hilir diberi notifikasi pada hari yang sama ketika kerentanan diidentifikasi. Pengumuman publik dilakukan pada 4 Juli 2026 sesuai protokol responsible disclosure. Aptos juga menjalankan program bug bounty dengan imbalan hingga US$1 juta untuk kerentanan serius. Bagi investor, kasus ini menyoroti kembali pentingnya faktor keamanan pada lapisan dasar blockchain. Move VM, yang awalnya dikembangkan dalam proyek Diem milik Meta, dirancang dengan fokus keselamatan. Aptos bersaing dengan Sui—sesama Layer-1 berbasis Move—serta Solana dan solusi penskalaan Ethereum. Estimasi risiko sistemik US$70 miliar, meski diperdebatkan, dapat memengaruhi pertimbangan tim DeFi saat memilih jaringan untuk deployment dan menilai rekam jejak keamanan base layer.