Vulnerabilidad en Aptos: cómo su velocidad amplió un $70B Riesgo

• Hexens encontró una falla crítica en Aptos que se corrigió antes de que se moviera cualquier fondo.
• El fallo podría haber permitido a un atacante falsificar activos y empujarlos a través de puentes.
• Aptos cuestiona la gravedad, pero el CTO de Polygon validó el proof-of-concept.
• El caso reaviva el argumento a favor de los “circuit breakers” on-chain en L1s rápidas.

Una firma de seguridad ha revelado que Aptos, una de las blockchains de capa-1 más rápidas, mantuvo durante meses una falla crítica antes de que se corrigiera en silencio. El 4 de julio, Hexens hizo público un fallo que había reportado en privado a Aptos el 25 de febrero: una debilidad en el motor que ejecuta los contratos inteligentes de la cadena que, según su propia estimación, ponía hasta 70 mil millones de dólares de riesgo teórico sobre la mesa en puentes, stablecoins y exchanges conectados. Aptos Labs lo parcheó en cuestión de horas de ese primer reporte, y nunca se tocó ningún fondo de usuario. Entonces, ¿por qué una corrección de hace cinco meses se vuelve noticia ahora? Dos razones. Obviamente, la cifra. Pero también el detalle que hay debajo: lo que Aptos más comercializa es la velocidad “en bruto”, y esa velocidad es exactamente lo que convierte 70 mil millones de dólares de un titular alarmista en una estimación defendible. Un alarde de throughput, un día después de que estallara la historia El 5 de julio, apenas 24 horas después del reporte, la cuenta oficial del proyecto siguió adelante con su actualización mensual programada de tokenomics, informando 232.500 APT quemados durante los últimos 30 días, más de 16 millones de transacciones en un solo día para un nuevo máximo trimestral, y una comisión promedio de 0,0005 dólares tras un aumento de tarifas de diez veces, todo bajo el lema “the full stack for markets and machines at work.” El post se lee muy distinto una vez que tienes la divulgación de Hexens delante, porque las transacciones casi gratuitas y el enorme throughput que Aptos está promocionando son las mismas propiedades que un investigador de seguridad evalúa primero cuando calcula cuánto podría costar realmente un solo fallo en el núcleo de la cadena.

Cada transacción en Aptos quema $APT. Nueva actualización del mes:

• 232.5K APT quemados en los últimos 30D
• 1.4M APT quemados en total desde mainnet
• +16M transacciones en un día—nuevo máximo trimestral
• 0,0005 dólares de comisión promedio por tx desde el aumento 10x

The full stack for markets and machines at work. pic.twitter.com/gPEuWzD1Qf

— Aptos (@Aptos) July 5, 2026

El fallo vivió debajo del código que revisan la mayoría de auditorías Aptos se construye sobre Move, un lenguaje de programación diseñado específicamente para hacer difícil este tipo de ataque. Move trata los tokens y otros activos digitales como elementos protegidos y comprueba, en el momento en que se ejecuta una transacción, que nada se esté manejando como el tipo equivocado de cosa. Esa promesa de seguridad es una gran parte de por qué Aptos y Sui también venden Move como más seguro que entornos anteriores. La falla de Hexens se deslizó por debajo de esa promesa en vez de romperla de frente. En términos simples, el sistema funcionó brevemente con información desactualizada y terminó confundiendo un tipo de elemento on-chain por otro. En seguridad, a eso le llaman “type confusion”, un problema antiguo de software en el que un programa lee algo como el tipo equivocado y se salta las comprobaciones destinadas a detenerlo. En una blockchain, esa confusión es peligrosa: un atacante podría disfrazar un elemento malicioso como uno legítimo y engañar a la red para que interprete mal a quién pertenece un activo y quién puede moverlo. El CTO de Polygon, Mudit Gupta, revisó el proof-of-concept de forma independiente y le dijo a CoinDesk que se ejecutó como se afirmó, con la salvedad de que debían alinearse algunas condiciones primero. Al venir del responsable de seguridad de una cadena rival, eso pesa más que cualquier cosa que Aptos o Hexens pudieran decir por su cuenta. Por qué las comisiones baratas y el gran volumen empeoran el fallo El throughput deja de ser una frase de marketing aquí y empieza a comportarse como un multiplicador de riesgo. Hexens ejecutó el ataque contra un clúster de más de 30 nodos validadores, configurados para reflejar la red real, en un servidor con un costo de aproximadamente 3.000 dólares y que representaba alrededor de un tercio del conjunto de validadores. Funcionó 17 o 18 veces de 20, sin acceso interno ni permisos especiales requeridos. Al sumar las cifras en vivo, la imagen se afina. A una fracción de centavo por transacción, inundar la cadena con cargas maliciosas es prácticamente gratis. Con 16 millones de transacciones al día, con bloques confirmándose en segundos, un atacante que pudiera falsificar activos necesitaría solo una ventana corta para crearlos y moverlos antes de que alguien reaccione. La velocidad es neutral. El mismo motor que procesa el volumen legítimo en segundos también procesaría, a la misma velocidad, un falso “acuñar y transferir”, y los humanos que operan la red no pueden reaccionar tan rápido. Esa es la parte que el post de métricas de quema subrayó accidentalmente. Dos números muy diferentes, y por qué importa la brecha De aquí salieron dos cifras, y tratarlas como una sola es como la historia se distorsiona. La más pequeña ronda 250 millones de dólares: el valor en aplicaciones DeFi de Aptos que la firma independiente Grego AI juzgó como en riesgo directo. La más grande es 70 mil millones de dólares, y solo aparece cuando sigues la falla hacia afuera a través de puentes entre cadenas como Wormhole y LayerZero, sistemas de stablecoin y los exchanges que negocian APT y sus versiones envueltas. Los puentes son el punto débil. Agrupan activos de varias cadenas a la vez, así que un evento de activo falsificado que comience en Aptos podría, en el peor caso modelado, drenar dinero que originalmente venía de Ethereum. Los 70 mil millones son un total de peor caso construido sobre una pila de supuestos, no efectivo que estuviera ahí para agarrarse en un único movimiento limpio.

| Figure | | --- | What it represents | Source | | --- | --- | --- | | $250M | Value in Aptos DeFi apps at direct risk | Grego AI | | $70B | Worst-case systemic risk across bridges, stablecoins, exchanges | Hexens | | $3,000 | Server cost to simulate roughly a third of validators | Hexens | | $1M | Maximum Aptos bug bounty payout tier | Aptos bug bounty program |

Aptos Labs no disputa el reporte en sí. Confirma la notificación del 25 de febrero mediante el programa de bug bounty y dice que el problema ya se estaba trabajando internamente. Lo que sí discute es la gravedad: argumenta que las condiciones reales de la red hicieron el exploit mucho más difícil de ejecutar que lo que implicaba la configuración de prueba, y sitúa la explotabilidad en el mundo real en “extremadamente baja.” Esa afirmación choca de frente con la validación independiente de Gupta, y las dos posturas no se han reconciliado públicamente. Hay una segunda brecha que vale la pena señalar, y tiene que ver con los incentivos más que con el código. La recompensa máxima llega a 1 millón de dólares. Un exploit de este tipo obtendría muchas veces más en el mercado negro, y Hexens igualmente lo divulgó; esa es precisamente la razón de ejecutar un bounty.

| The systemic-threat reading | | --- | The resilience reading | | --- | | A $3,000 setup could threaten a top-tier layer-1 | Patched within hours, no network disruption | | A core bug hints at category risk for Move chains | Aptos says real conditions made exploitability very low | | One flaw could reach bridge and stablecoin assets | The bounty steered a white-hat outcome over a sale |

Lo que está haciendo el gráfico de APT mientras corre el debate Los traders en su mayoría lo han restado importancia. En el gráfico de 4 horas Aptos/USD de Coinbase,** obtenido vía TradingView,** APT cambió de manos cerca de 0,635 dólares el 7 de julio, manteniéndose por encima de su media móvil de 50 periodos en 0,6061 y de su línea de 100 periodos en 0,6147, mientras chocaba con la media de 200 periodos en 0,6410 como resistencia por encima. Una media móvil no es más que el precio de cierre promedio en esa cantidad de velas, y esta disposición apunta a un rebote real que todavía no ha despejado la tendencia bajista más grande, la que arrastró a APT desde alrededor de 1,00 dólares a mediados de mayo hasta cerca de 0,55. El RSI, un indicador de presión compradora que va de 0 a 100, se situó en 58,77, por encima de la marca neutral de 50 pero sin acercarse a la línea de 70 que señala un mercado sobrecalentado. **CoinMarketCap **tenía APT con una subida del 9,91 por ciento en la semana en 0,6339 dólares, así que la divulgación parece más un lastre para el sentimiento que un desencadenante de una venta real. La solución que superará este ciclo de noticias Los constructores cargan el peso a corto plazo. Cualquiera que ejecute una app en Aptos tiene motivos para volver a revisar cómo su código maneja el tipo de caso límite que encontró Hexens, y los inversores grandes podrían seguir aplicando una prima de riesgo ligeramente más alta en tokens basados en Move como APT y SUI mientras vuelven a mirar los cimientos de la red. Dos cosas, sin embargo, es probable que permanezcan después de que se apague la cobertura. La primera es el tope del bounty. Un tope de 1 millón de dólares cada vez parece más pequeño frente al valor que pretende proteger, y los proyectos que compiten con compradores del mercado negro quizá no tengan más opción que aumentarlo. La segunda es un cambio en la pregunta que realmente se hacen los investigadores. Durante años, los “derechos de fanfarronear” fueron sobre cuántas transacciones puede impulsar una cadena. Este incidente desplaza el foco hacia la habilidad opuesta: qué tan rápido una red puede detenerse a sí misma. Las cadenas rápidas cada vez necesitan “kill switches” automáticos que congelen transferencias entre cadenas en el instante en que algo parezca ir mal, porque cuando un humano se da cuenta, las transacciones ya habrán pasado. Aptos está a punto de ejecutar ese experimento sobre sí misma. Una propuesta para ocultar detalles de transacciones hasta después de que las confirmen, lo que haría más difícil el front-running, ya avanza en la votación comunitaria, mientras otras actualizaciones persiguen tiempos de confirmación aún más rápidos. Cada una de esas cosas añade velocidad y añade valor en juego, la misma combinación que la divulgación de Hexens mostró que puede convertir un solo bug en uno sistémico. Si el próximo momento de seguridad de Move se lee como un alivio o como un reintento depende de una cosa: si esas actualizaciones se envían con el tipo de salvaguardas integradas que este episodio hizo el caso por.a