🔴
#EthicalHackersFindAptosFlawRisking$70B — Один баг, один сервер за $3K, одна майже-катастрофа
$70 мільярдів. Сервер за $3,000. І 90% успішності.
Ось коротка версія історії, яка має змусити кожного L1-розробника не спати.
Баг
Агентство з безпеки Hexens — дослідник Ваґе Карапетян — виявило застаріло-кешову / вразливість типу-сплутування в Aptos' Move VM у кінці лютого. Простими словами: віртуальну машину Move можна змусити неправильно ідентифікувати один on-chain-ресурс як інший.
Чому це жахає: Move зберігає протокольні дозволи — повноваження карбувати стейблкоїни, керувати бриджами, адмініструвати ринки кредитування — як on-chain-ресурси. Якщо можна сплутати VM щодо того, що таке ресурс, ви можете викрасти ці дозволи.
Експлойт
Hexens змоделювали реальні умови mainnet: 30+ вузлів валідаторів, органічний трафік, сильну конкуренцію виконання. Вони запустили атаку 20 разів . Вона вдалася 17–18 разів (~90%). Без доступу інсайдера. Без спеціальних дозволів. Лише сервер за $3,000.
CTO Polygon Мудіт Гупта незалежно перевірив: "Це спрацювало як заявлено. Експлойт має сенс."
Вразливість
Безпосередній ризик для Aptos-native TVL: ~ $250MB
Ширше системне охоплення ризиком: ~ $70B — через бриджі (LayerZero, Wormhole), інфраструктуру стейблкоїнів (USDC CCTP) та централізовані біржі
Дослідники продемонстрували, що можуть захоплювати ролі master-minter, можливості для бриджування та права підписанта. CEO Grego AI: "Якби зловмисники отримали доступ до цієї вразливості, вони змогли б забрати весь той TVL, який їм був би потрібен."
Відповідь
Повідомлено 25 лютого. Виправлено за кілька годин . Без втрати коштів. Aptos заперечує практичну експлуатованість, називаючи це "надзвичайно низькою експлуатованістю в реальних умовах".
Але ось незручна правда: $70B системного ризику не зникають лише тому, що одна команда виправила один баг. Це зникає тоді, коли весь стек безпечний. І в Age of Mythos — де AI-агенти знаходять 10,000+ критичних вразливостей по всьому стеку — ставки лише зростають.
Одне питання: скільки ще їх досі десь? 🔐
$BTC $ETH $SOL