Lỗi trên Aptos có thể đặt 70 tỷ USD giá trị hệ sinh thái vào rủi ro, theo nhóm hacker mũ trắng

Hai hacker mũ trắng cho biết họ vừa chứng minh rằng chỉ với một cấu hình máy chủ khoảng 3.000 USD cũng có thể trở thành điểm xuất phát để tác động tới một trong những blockchain Layer-1 được rót vốn mạnh nhất thị trường. Lỗ hổng nằm trong máy ảo Move của Aptos được ước tính mang rủi ro hệ thống lên tới 70 tỷ USD, bao trùm stablecoin, các giao thức DeFi, cầu nối cross-chain và các luồng giao dịch đi qua sàn tập trung. Theo công ty an ninh blockchain Hexens, ngày 25/2/2026 họ phát hiện lỗi mà họ gọi là "stalecache bug" trong Move VM của Aptos. Lỗi trong lớp thực thi hợp đồng thông minh này dẫn đến dạng "type confusion" — khiến hệ thống có thể nhận nhầm kiểu dữ liệu. Trong kịch bản xấu, kẻ tấn công có thể chiếm quyền đối với các tài nguyên on-chain trọng yếu, bao gồm quyền mint và cơ chế kiểm soát cầu nối. Hexens cho biết khi mô phỏng tấn công, họ đạt tỷ lệ thành công gần 90% với thiết lập máy chủ khoảng 3.000 USD, cụ thể thành công 17/20 lần thử nghiệm. CTO của Polygon, ông Mudit Gupta, được cho là đã độc lập xác thực bản proof-of-concept, qua đó củng cố mức độ可信 của phát hiện. Về con số 70 tỷ USD, Hexens nhấn mạnh đây không phải TVL trực tiếp của Aptos. Công ty đánh giá bảo mật Grego AI ước tính TVL của Aptos vào khoảng 250 triệu USD. Thay vào đó, mức 70 tỷ USD phản ánh thiệt hại dây chuyền có thể lan ra toàn hệ sinh thái: stablecoin dựa trên hạ tầng Aptos, các giao thức DeFi xây trên mạng, cầu nối kết nối với các chain khác và các tuyến tích hợp qua sàn tập trung. Aptos Labs phản hồi rằng đánh giá mức độ nghiêm trọng đã bị phóng đại, cho rằng khả năng khai thác trên mainnet thực tế là thấp. Về khắc phục, Aptos Labs đã vá lỗ hổng trên mainnet chỉ sau hai ngày kể từ khi phát hiện, vào 27/2. Không ghi nhận thất thoát tài sản. Quá trình công bố được điều phối qua kênh khẩn cấp SEAL911, đồng thời bốn dự án phụ thuộc (downstream) được thông báo ngay trong ngày phát hiện. Thông tin được công bố rộng rãi vào 4/7/2026 theo quy trình responsible disclosure. Aptos cho biết họ duy trì chương trình bug bounty với mức thưởng lên tới 1 triệu USD cho các lỗ hổng nghiêm trọng. Đối với nhà đầu tư và các đội ngũ DeFi, Move VM vốn được phát triển từ dự án Diem của Meta với mục tiêu an toàn là trọng tâm. Aptos cạnh tranh với Sui (cũng dựa trên Move), cùng Solana và các giải pháp mở rộng của Ethereum. Ước tính rủi ro hệ thống 70 tỷ USD, dù còn tranh luận, vẫn có thể tác động tới quyết định triển khai của các dự án DeFi và cách thị trường đánh giá hồ sơ an ninh của lớp nền tảng.