Kerentanan Aptos: Bagaimana Kecepatannya Memperlebar $70B Risiko

• Hexens menemukan celah kritis di Aptos yang ditambal sebelum dana apa pun berpindah.
• Bug itu berpotensi memungkinkan penyerang memalsukan aset dan mendorongnya melewati jembatan.
• Aptos mempertanyakan tingkat keparahannya, namun CTO Polygon memvalidasi proof-of-concept.
• Kasus ini menghidupkan kembali argumen soal circuit breaker on-chain pada fast L1.

Sebuah perusahaan keamanan telah mengungkap bahwa Aptos, salah satu blockchain layer-1 yang lebih cepat, membawa celah kritis selama berbulan-bulan sebelum akhirnya diperbaiki secara diam-diam. Pada 4 Juli, Hexens mempublikasikan bug yang sebelumnya ia laporkan secara privat ke Aptos pada 25 Februari: kelemahan pada mesin yang menjalankan smart contract rantai tersebut yang, menurut perkiraannya sendiri, menempatkan hingga $70 miliar risiko teoretis dalam permainan lintas jembatan, stablecoin, dan bursa yang terhubung. Aptos Labs menambalnya dalam hitungan jam setelah laporan pertama itu, dan tidak pernah ada dana pengguna yang disentuh. Lalu kenapa patch berusia lima bulan ini menjadi berita sekarang? Dua alasan. Angkanya, tentu saja. Tapi juga detail yang mendasarinya: yang Aptos pasarkan paling gencar adalah kecepatan mentah, dan kecepatan mentah itulah yang mengubah $70 miliar dari judul yang menakutkan menjadi estimasi yang bisa dipertanggungjawabkan. Klaim rekor throughput, sehari setelah cerita meledak Pada 5 Juli, nyaris 24 jam setelah laporan, akun resmi proyek itu menjalankan pembaruan tokenomics bulanan terjadwal, melaporkan 232.500 APT dibakar selama 30 hari terakhir, lebih dari 16 juta transaksi dalam satu hari untuk rekor kuartalan baru, serta biaya rata-rata $0,0005 setelah kenaikan biaya 10 kali, semuanya di bawah tagline “the full stack for markets and machines at work.” Post itu terdengar sangat berbeda setelah Anda melihat keterbukaan Hexens, karena transaksi nyaris tanpa biaya dan throughput besar yang dipromosikan Aptos adalah properti yang sama yang dinilai lebih dulu oleh peneliti keamanan saat menghitung seberapa besar satu bug dalam inti rantai itu benar-benar bisa merugikan.

Setiap transaksi di Aptos membakar $APT. Pembaruan bulan baru:

• 232.5K APT dibakar dalam 30H terakhir
• 1.4M total APT dibakar sejak mainnet
• +16M transaksi dalam sehari—rekor kuartalan baru
• $0,0005 biaya tx rata-rata sejak kenaikan biaya 10x

The full stack for markets and machines at work. pic.twitter.com/gPEuWzD1Qf

— Aptos (@Aptos) 5 Juli 2026

Bug bersembunyi di bawah kode yang dicek sebagian besar audit Aptos dibangun di atas Move, bahasa pemrograman yang dirancang khusus untuk membuat jenis serangan seperti ini sulit. Move memperlakukan token dan aset digital lain sebagai item terlindungi serta memeriksa, pada saat sebuah transaksi dijalankan, bahwa tidak ada yang diperlakukan sebagai tipe yang salah. Janji keamanan itu menjadi bagian besar mengapa Aptos dan Sui sama-sama memasarkan Move sebagai lebih aman dibanding lingkungan yang lebih lama. Kelemahan Hexens justru lolos di bawah janji tersebut alih-alih langsung mematahkannya. Secara sederhana, sistem sempat bekerja dari informasi yang sudah ketinggalan dan akhirnya menyalahartikan satu jenis item on-chain sebagai jenis lainnya. Orang-orang keamanan menyebutnya “type confusion”, masalah perangkat lunak lama ketika sebuah program membaca sesuatu sebagai tipe yang salah dan melewati pemeriksaan yang seharusnya menghentikannya. Di blockchain, kekeliruan seperti itu berbahaya: penyerang bisa menyamarkan item berbahaya sebagai item yang sah dan menipu jaringan agar salah membaca siapa yang memiliki aset serta siapa yang diizinkan memindahkannya. Polygon CTO Mudit Gupta meninjau proof-of-concept secara independen dan mengatakan kepada CoinDesk bahwa itu berjalan sesuai klaim, dengan catatan beberapa kondisi harus selaras terlebih dulu. Datang dari kepala keamanan rantai pesaing, ini lebih berbobot dibanding apa pun yang Aptos atau Hexens bisa katakan sendiri. Kenapa biaya murah dan volume besar membuat bug makin buruk Throughput di sini berhenti menjadi kalimat pemasaran dan mulai berperilaku seperti pengali risiko. Hexens menjalankan serangan terhadap klaster lebih dari 30 node validator, disiapkan untuk mencerminkan jaringan sebenarnya, pada perangkat server yang biayanya sekitar $3.000 dan mewakili kira-kira sepertiga dari set validator. Serangan itu berhasil 17 atau 18 kali dari 20, tanpa akses insider atau izin khusus yang diperlukan. Gabungkan angka real-time dan gambarnya makin tajam. Dengan biaya sepersekian sen per transaksi, membanjiri rantai dengan payload berbahaya nyaris gratis. Pada 16 juta transaksi per hari, dengan blok yang dikonfirmasi dalam hitungan detik, penyerang yang bisa memalsukan aset hanya perlu jendela singkat untuk membuatnya dan memindahkannya keluar sebelum siapa pun bereaksi. Kecepatan bersifat netral. Mesin yang sama untuk memproses volume sah dalam hitungan detik juga bisa memproses pemalsuan “mint-and-transfer” dengan kecepatan serupa, dan manusia yang menjalankan jaringan tidak bisa bereaksi secepat itu. Bagian itulah yang tanpa sengaja ditandai oleh posting metrik pembakaran. Dua angka yang sangat berbeda, dan kenapa celahnya penting Dua angka keluar dari sini, dan memperlakukan keduanya sebagai satu hal membuat cerita jadi terdistorsi. Yang lebih kecil sekitar $250 juta: nilai yang tertahan pada aplikasi Aptos DeFi yang dinilai Grego AI sebagai pada risiko langsung. Yang lebih besar adalah $70 miliar, dan angka itu baru muncul setelah Anda menelusuri kelemahan itu keluar lewat jembatan lintas-chain seperti Wormhole dan LayerZero, sistem stablecoin, serta bursa yang memperdagangkan APT dan versi terbungkusnya. Jembatan adalah titik lemahnya. Jembatan mengumpulkan aset dari beberapa rantai sekaligus, sehingga peristiwa pemalsuan aset yang dimulai di Aptos, dalam skenario terburuk yang dimodelkan, bisa menguras uang yang awalnya berasal dari Ethereum. $70 miliar adalah total risiko sistemik skenario terburuk yang dibangun di atas tumpukan asumsi, bukan uang tunai yang pernah benar-benar ada di sana untuk direnggut dalam satu langkah bersih.

| Angka | | --- | Apa yang diwakilinya | Sumber | | --- | --- | --- | | $250M | Nilai di aplikasi Aptos DeFi yang pada risiko langsung | Grego AI | | $70B | Risiko sistemik terburuk lintas jembatan, stablecoin, dan bursa | Hexens | | $3,000 | Biaya server untuk mensimulasikan kira-kira sepertiga validator | Hexens | | $1M | Tier hadiah bug bounty maksimum Aptos | Program bug bounty Aptos |

Aptos Labs tidak membantah laporan itu sendiri. Ia mengonfirmasi notifikasi 25 Februari melalui program bug bounty dan mengatakan isu tersebut sudah dikerjakan secara internal. Yang dipermasalahkannya adalah tingkat keparahan, dengan berargumen bahwa kondisi jaringan nyata membuat eksploit jauh lebih sulit dijalankan dibanding yang tersirat dari set pengujian, serta menempatkan kemampuan eksploit di dunia nyata pada “sangat rendah.” Klaim itu langsung bertabrakan dengan validasi independen Gupta, dan kedua posisi belum direkonsiliasi di ruang publik. Ada celah kedua yang layak ditandai, dan ini soal insentif, bukan kode. Hadiah dibatasi pada $1 juta. Eksploit seperti ini bisa menghasilkan beberapa kali lipatnya di pasar gelap, dan Hexens tetap mengungkapkannya—itulah inti dari menjalankan bounty. | Pembacaan ancaman-sistemik | | --- | Pembacaan ketahanan | | A set $3,000 bisa mengancam layer-1 papan atas | Ditambal dalam hitungan jam, tanpa gangguan jaringan | | Bug inti menunjukkan risiko kategori untuk rantai Move | Aptos mengatakan kondisi nyata membuat kemampuan eksploit sangat rendah | | Satu celah bisa menjangkau aset jembatan dan stablecoin | Bounty mengarahkan hasil white-hat alih-alih penjualan |

Apa yang dilakukan grafik APT saat perdebatan berlangsung Para trader sebagian besar mengabaikan ini. Pada grafik Aptos/USD 4 jam dari Coinbase, diambil lewat TradingView, APT berpindah tangan di sekitar $0,635 pada 7 Juli, bertahan di atas moving average periode 50 di $0,6061 dan garis periode 100 di $0,6147, sambil menabrak rata-rata periode 200 di $0,6410 sebagai resistensi yang berada di atas. Moving average hanyalah rata-rata harga penutupan pada sekian banyak candle, dan tata letak ini mengarah pada pantulan nyata yang belum menembus downtrend yang lebih besar—downtrend yang menarik APT dari sekitar $1,00 pada pertengahan Mei ke sekitar $0,55. RSI, indikator tekanan beli yang bergerak dari 0 hingga 100, berada di 58,77, di atas ambang netral 50 namun tidak sampai garis 70 yang menandakan pasar kepanasan. CoinMarketCap membuat APT naik 9,91 persen dalam sepekan di $0,6339, jadi keterungkapan ini terlihat lebih seperti beban pada sentimen ketimbang pemicu penjualan nyata.

Perbaikan yang bertahan lebih lama dari siklus berita ini Para pembangun memikul beban jangka pendek. Siapa pun yang menjalankan aplikasi di Aptos punya alasan untuk memeriksa ulang cara kode mereka menangani jenis edge case yang ditemukan Hexens, dan investor besar mungkin akan terus mempertahankan premi risiko yang sedikit lebih tinggi pada token berbasis Move seperti APT dan SUI sambil meninjau lagi fondasi jaringan. Namun ada dua hal yang kemungkinan akan tetap bertahan setelah liputan memudar. Pertama adalah plafon bounty. Batas $1 juta terlihat makin kecil dibanding nilai yang seharusnya dilindungi, dan proyek yang bersaing dengan pembeli pasar gelap mungkin tak punya pilihan selain menaikkannya. Kedua adalah pergeseran pada pertanyaan yang benar-benar diajukan peneliti. Selama bertahun-tahun, hak untuk menyombongkan diri ada pada berapa banyak transaksi yang bisa didorong sebuah rantai. Insiden ini menggeser fokus ke keterampilan yang berlawanan: seberapa cepat sebuah jaringan bisa menghentikan dirinya sendiri. Rantai cepat makin membutuhkan “kill switch” otomatis yang membekukan transfer lintas-chain seketika sesuatu terlihat salah, karena begitu manusia menyadari, transaksi sudah terlanjur lewat. Aptos akan menjalankan eksperimen itu pada dirinya sendiri. Sebuah proposal untuk menyembunyikan detail transaksi hingga setelah konfirmasi, yang akan membuat front-running lebih sulit, sudah bergerak melalui pemungutan suara komunitas, sementara upgrade lain mengejar waktu konfirmasi yang bahkan lebih cepat. Setiap langkah itu menambah kecepatan dan menambah nilai yang dipertaruhkan, kombinasi yang sama seperti yang ditunjukkan oleh keterungkapan Hexens: sebuah bug tunggal bisa berubah menjadi masalah sistemik. Apakah momen keamanan Move berikutnya dibaca sebagai penegasan atau justru pengulangan, semuanya bergantung pada satu hal: apakah upgrade-upgrade ini dikirimkan bersama safeguards bawaan seperti yang dipakai kasus ini untuk membuktikannya.a