Главный технический директор компании Hexens Ваге Карапетян 5 июля обнаружил в Move VM блокчейна Aptos уязвимость устаревшего кеша, которая приводит к путанице типов. Эта уязвимость позволяет обмануть ПО, обходя гарантии типобезопасности языка Move. Hexens создала симуляционную среду на сервере стоимостью около 3 000 долларов, где в 20 тестах успешность атак приблизилась к 90%.
Сервер за 3 000 долларов, 20 симуляций, 17–18 успешных — почти 90% успеха атак
Согласно техническому отчёту Hexens, команда Карапетяна для проверки реализуемости уязвимости построила симуляционную среду, близкую к основной сети: более 30 узлов валидаторов, распределение ставок, близкое к основной сети, реальный трафик транзакций и высокая конкуренция исполнения. Стоимость создания — около 3 000 долларов. Стоимость реальной атаки была бы ещё ниже, и для неё не требуются права валидатора, внутренние знания или привилегированный доступ.
Hexens провела около 20 тестов в симуляционной среде, 17–18 из которых оказались успешными — вероятность успеха приближается к 90%. Даже в 2–3 неудачных случаях сеть не останавливается, и атакующий может дождаться следующего окна.
Вмешательство SEAL911: исправление за несколько часов и уведомление нижестоящих проектов
Согласно официальным источникам Aptos и CoinDesk, Hexens сообщила об уязвимости 25 февраля 2026 года через программу bug bounty Aptos. Aptos заявила, что на момент получения уведомления команда уже занималась этой проблемой. Кризисная команда волонтёров криптоиндустрии SEAL911 в тот же день открыла оперативный штаб. Во второй половине дня Aptos уведомила пострадавшие стороны и 4 основных нижестоящих проекта, приложив локально исполняемый PoC.
Aptos заявила CoinDesk: «Исправление было разработано, протестировано и развёрнуто в основной сети в течение нескольких часов после обнаружения. Ни один пользователь или средства не пострадали». Публичный pull request с исправлением появился 27 февраля, но частные валидаторы уже установили исправление до публичного коммита.
Технический директор Polygon Mudit Gupta и Grego AI независимо подтвердили работоспособность PoC
Согласно CoinDesk, оценки Aptos и Hexens существенно разошлись. Aptos заявила: «Анализ показал, что реализуемость этой уязвимости в реальных условиях крайне низка». Hexens ответила, что до сих пор не получила никаких основанных на доказательствах технических опровержений.
Технический директор Polygon Mudit Gupta, независимо изучив PoC, отметил: «Он работает, как заявлено. Уязвимость имеет смысл… Требуется несколько условий, но, судя по всему, в основной сети они были соблюдены».
Независимая организация Grego AI проверила PoC, и её генеральный директор Джастус Ханна прямо заявил: «Если бы этот эксплойт оказался у злоумышленника, они могли бы забрать любую TVL, какую захотели».
Оценка риска: прямая экспозиция нативного TVL Aptos — около 250 миллионов долларов
По оценкам Hexens и Grego AI, масштаб риска от данной уязвимости делится на два уровня:
Прямая экспозиция нативного TVL Aptos (оценка Grego AI): нативный TVL Aptos на сумму около 250 миллионов долларов находится под прямой угрозой при почти 90% успешности атаки. В эту сумму не входит кросс-чейн экспозиция.
Системный риск (оценка Hexens): до 70 миллиардов долларов, включая кросс-чейн мосты, системы кросс-чейн сообщений, процессы управления эмиссией стейблкоинов и активы, доступные через централизованные биржи. Эта цифра исходит из сценария, при котором атакующий массово эмитирует USDC и перемещает активы через протокол CCTP Circle на другие цепи.
Ограничение Circle: Circle заявила, что не будет замораживать активы без юридических полномочий. Это означает, что при своевременном вмешательстве сторон вероятность полной реализации риска в 70 миллиардов долларов ограничена.
Риск распространения по цепочке доверия: критические разрешения протоколов на языке Move (эмиссия стейблкоинов, управление кросс-чейн мостами, управление кредитными рынками) хранятся в форме «ончейн-ресурсов». При компрометации ущерб распространяется по цепочке доверия на все зависимые системы.
В ходе практического теста Hexens однажды получила контроль над ролью, подобной «master minter», и действовала через легальные пути управления, остановившись перед фактической эмиссией монет. Однако этого было достаточно, чтобы доказать необходимость включения таких ролей в полную модель угроз.
Часто задаваемые вопросы
В чём заключается уязвимость Aptos Move VM и как она работает?
Согласно техническому отчёту Hexens, это «уязвимость устаревшего кеша (stale-cache bug)», приводящая к «путанице типов (type confusion)». ПО вводится в заблуждение, принимая один ончейн-ресурс за другой, обходя гарантии типобезопасности языка Move. Это позволяет коду, контролируемому атакующим, напрямую записывать данные в хранилище других контрактов.
Была ли эта уязвимость исправлена и каковы сроки?
Согласно официальному заявлению Aptos, уязвимость была исправлена, протестирована и развёрнута в основной сети в течение нескольких часов после сообщения 25 февраля 2026 года. Частные валидаторы завершили развёртывание раньше. Публичный PR появился 27 февраля. Aptos заявила, что ни один пользователь или средства не пострадали.
Как рассчитывался системный риск в 70 миллиардов долларов по оценке Hexens?
Согласно оценке Hexens, сумма в 70 миллиардов долларов включает кросс-чейн мосты, системы кросс-чейн сообщений, эмиссию стейблкоинов и активы, доступные через централизованные биржи. Предпосылка: атакующий массово эмитирует USDC и перемещает средства через Circle CCTP на другие цепи. Circle заявила, что не замораживает активы без юридических полномочий. При своевременном вмешательстве сторон вероятность полной реализации риска ограничена.
