Falha na Aptos teria colocado US$ 70 bilhões em risco sistêmico, dizem pesquisadores

Dois hackers éticos mostraram que uma infraestrutura de servidor de cerca de US$ 3.000 poderia, em tese, abrir caminho para comprometer uma das blockchains Layer 1 mais bem financiadas do setor cripto. A falha foi identificada na máquina virtual Move da Aptos e, segundo a avaliação, carregava um risco sistêmico estimado em US$ 70 bilhões, com impacto potencial sobre stablecoins, protocolos DeFi, pontes cross-chain e rotas que passam por corretoras centralizadas. A descoberta foi feita pela empresa de segurança Hexens, que classificou o problema como um "stalecache bug" na Move VM, em 25 de fevereiro de 2026. O erro no componente responsável por executar contratos inteligentes permitiria uma vulnerabilidade de "type confusion", levando o sistema a interpretar tipos de dados de forma equivocada. Na prática, isso poderia permitir a tomada de controle de recursos críticos on-chain, incluindo permissões de mint e sistemas de controle de bridges. Nos testes conduzidos pela Hexens, a simulação do ataque com um ambiente de aproximadamente US$ 3.000 apresentou taxa de sucesso próxima de 90%, com 17 resultados bem-sucedidos em 20 tentativas simuladas. O CTO da Polygon, Mudit Gupta, validou de forma independente a prova de conceito, reforçando a credibilidade das conclusões. A Hexens estimou o risco sistêmico em US$ 70 bilhões. O número não corresponde ao total de valor travado (TVL) diretamente na Aptos, que a empresa de avaliação Grego AI estimou em cerca de US$ 250 milhões. A conta considera efeitos em cadeia sobre ativos e aplicações que dependem da infraestrutura da Aptos, como stablecoins, protocolos DeFi construídos sobre a rede, pontes de interoperabilidade com outras blockchains e caminhos usados por exchanges centralizadas. A Aptos Labs contestou a avaliação de severidade e afirmou que, em cenários práticos na mainnet, a explorabilidade do bug seria baixa. Segundo a Aptos Labs, a correção foi aplicada na mainnet dois dias após a identificação, em 27 de fevereiro, sem perdas de fundos. A divulgação ocorreu de forma coordenada pelos canais de emergência do SEAL911, e quatro projetos a jusante foram notificados no mesmo dia da descoberta. A revelação pública foi feita em 4 de julho de 2026, seguindo protocolos de divulgação responsável. A Aptos mantém um programa de bug bounty com recompensas de até US$ 1 milhão para vulnerabilidades graves. Para investidores e equipes de DeFi, o episódio reacende o debate sobre risco de base. A Move VM, criada originalmente no projeto Diem da Meta, foi concebida com segurança como princípio central. A Aptos disputa espaço com a Sui, outra Layer 1 baseada em Move, além de Solana e soluções de escalabilidade do Ethereum. Mesmo com controvérsia sobre a estimativa, a cifra de US$ 70 bilhões tende a entrar no cálculo de projetos ao decidir onde implantar aplicações e ao ponderar o histórico de segurança da camada base.