Хакеры заявили об уязвимости Aptos, потенциально ставившей под удар $70 млрд сетевой стоимости

Два "этических" хакера показали, что для потенциального компрометационного сценария одной из самых финансируемых L1-сетей в криптоиндустрии может хватить серверной конфигурации примерно за $3 тыс. Обнаруженная ими проблема в виртуальной машине Move в Aptos, по оценке исследователей, несла системный риск порядка $70 млрд, затрагивая стейблкоины, DeFi-протоколы, кроссчейн-мосты и маршруты через централизованные биржи. $3 тыс. на атаку и около 90% вероятности успеха Блокчейн-компания в сфере безопасности Hexens сообщила, что 25 февраля 2026 года выявила в Move VM Aptos так называемый "stalecache bug". Дефект в среде исполнения смарт-контрактов создавал уязвимость класса type confusion — систему можно было заставить неверно интерпретировать типы данных. В теории это открывало путь к захвату критически важных ончейн-ресурсов, включая права на минтинг и компоненты управления мостами. В ходе моделирования атаки Hexens получила показатель успешности, близкий к 90%: 17 успешных попыток из 20 при использовании серверной установки ориентировочной стоимостью $3 тыс. Концепцию эксплуатации независимо подтвердил технический директор Polygon Мудит Гупта, что усилило доверие к выводам Hexens. Откуда взялась оценка в $70 млрд и почему Aptos не согласна Hexens оценила системный риск в $70 млрд. Речь не о собственном TVL Aptos: по данным компании по оценке безопасности Grego AI, он составлял около $250 млн. Оценка Hexens отражает потенциальный каскадный эффект для более широкого рынка: стейблкоины, опирающиеся на инфраструктуру Aptos, DeFi-приложения поверх сети, мосты, связывающие Aptos с другими блокчейнами, а также связанные с ними пути прохождения ликвидности через централизованные биржи. Aptos Labs оспорила трактовку серьезности проблемы, заявив, что на живом мейннете практическая эксплуатируемость бага была низкой. Сроки устранения и раскрытие Aptos Labs закрыла уязвимость в мейннете через два дня после обнаружения — 27 февраля. Потерь средств зафиксировано не было. Координация раскрытия велась через экстренные каналы SEAL911, четыре зависимых проекта получили уведомление в тот же день, когда проблему идентифицировали. Публичное раскрытие состоялось 4 июля 2026 года в рамках процедур ответственного раскрытия. Aptos также напоминает о программе bug bounty с вознаграждением до $1 млн за критические уязвимости. Значение для инвесторов Move VM, изначально разработанная в рамках проекта Diem компании Meta, создавалась с упором на безопасность. Aptos конкурирует с Sui — еще одной L1 на базе Move, а также с Solana и решениями масштабирования Ethereum. Оценка системного риска на уровне $70 млрд, даже при наличии разногласий, становится дополнительным фактором для DeFi-команд при выборе сети для развертывания и при оценке исторического профиля безопасности базового слоя.