Vulnerabilidade na Aptos: como sua velocidade ampliou um $70B risco

• A Hexens encontrou uma falha crítica no Aptos que foi corrigida antes de qualquer dinheiro se mover.
• O bug poderia ter permitido que um atacante forjasse ativos e os enviasse por bridges.
• A Aptos contesta a gravidade, mas o CTO da Polygon validou a prova de conceito.
• O caso reacende o argumento por circuit breakers on-chain em L1s rápidas.

Uma empresa de segurança revelou que o Aptos,** uma das blockchains de layer-1 mais rápidas, carregou uma falha crítica por meses antes de ser corrigida em silêncio. Em 4 de julho, a Hexens tornou público um bug que havia reportado privadamente à Aptos em 25 de fevereiro: uma fraqueza no motor que executa os contratos inteligentes da cadeia que, segundo sua própria estimativa, colocava em jogo até US$ 70 bilhões de risco teórico em bridges, stablecoins e exchanges conectadas. A Aptos Labs corrigiu isso em poucas horas após o primeiro relato, e nenhum dinheiro de usuários chegou a ser tocado.** Então por que um patch com cinco meses virou notícia agora? Dois motivos. O número, obviamente. Mas também o detalhe por baixo dele: o que a Aptos mais vende é velocidade bruta, e velocidade bruta é exatamente o que transforma os US$ 70 bilhões de um título alarmista em uma estimativa defensável. Um registro de throughput, um dia após a história estourar Em 5 de julho, pouco mais de 24 horas após o relatório, a conta oficial do projeto seguiu com seu update mensal agendado de tokenomics, reportando 232.500 APT queimados nos últimos 30 dias, mais de 16 milhões de transações em um único dia para uma nova máxima trimestral, e taxa média de US$ 0,0005 após um aumento de 10x na taxa, tudo sob o slogan “the full stack for markets and machines at work.” A postagem muda de tom de forma bem diferente quando você tem a divulgação da Hexens à frente, porque as transações quase gratuitas e o enorme throughput que o Aptos está promovendo são exatamente as mesmas propriedades que um pesquisador de segurança avalia primeiro ao calcular quanto um único bug no núcleo da cadeia poderia realmente custar.

Cada transação no Aptos queima $APT. Novo update do mês:

• 232,5K APT queimados nos últimos 30D
• 1,4M APT queimados desde o mainnet
• +16M transações em um dia — nova máxima trimestral
• US$ 0,0005 de taxa média por transação desde o aumento de 10x na taxa

The full stack for markets and machines at work. pic.twitter.com/gPEuWzD1Qf

— Aptos (@Aptos) 5 de julho de 2026

O bug ficou abaixo do código que a maioria das auditorias verifica Aptos foi construída com Move, uma linguagem de programação criada especificamente para dificultar esse tipo de ataque. Move trata tokens e outros ativos digitais como itens protegidos e verifica, no momento em que uma transação roda, que nada está sendo manuseado como o tipo errado de coisa. Essa promessa de segurança é uma grande parte do motivo pelo qual Aptos e Sui vendem Move como mais seguro do que ambientes mais antigos. A falha da Hexens passou por baixo dessa promessa em vez de quebrá-la de frente. Em termos simples, o sistema funcionou por um breve momento com informações desatualizadas e acabou confundindo um tipo de item on-chain com outro. Pessoas de segurança chamam isso de “confusão de tipo” (type confusion), um problema antigo de software em que um programa lê algo como o tipo errado e passa direto pelos checadores feitos para impedir isso. Em uma blockchain, essa mistura é perigosa: um atacante poderia disfarçar um item malicioso como legítimo e fazer a rede interpretar errado quem é o dono de um ativo e quem tem permissão para movê-lo. O CTO da Polygon, Mudit Gupta, revisou a prova de conceito de forma independente e disse ao CoinDesk que ela rodou como afirmado, com a ressalva de que algumas condições precisariam se alinhar primeiro. Vindo do responsável pela segurança de uma cadeia rival, isso pesa mais do que qualquer coisa que a Aptos ou a Hexens pudesse dizer por conta própria. Por que taxas baratas e enorme volume pioram o bug Aqui, o throughput deixa de ser só uma linha de marketing e começa a se comportar como um multiplicador de risco. A Hexens executou o ataque contra um cluster com mais de 30 nós validador, montado para espelhar a rede real, em uma estrutura de servidor que custou cerca de US$ 3.000 e representou aproximadamente um terço do conjunto de validadores. Funcionou 17 ou 18 vezes em 20, sem acesso interno ou permissões especiais exigidas. Some os números em tempo real e a imagem fica mais nítida. Por uma fração de centavo por transação, inundar a cadeia com cargas maliciosas fica perto de ser gratuito. Com 16 milhões de transações por dia, com blocos confirmando em segundos, um atacante que pudesse forjar ativos precisaria apenas de uma janela curta para criá-los e movê-los antes que alguém reagisse. Velocidade é neutra. O mesmo motor que escoa volume legítimo em segundos também escoaria um falso fluxo de “mint-and-transfer” no mesmo ritmo, e os humanos operando a rede não conseguem reagir tão rápido. É essa a parte que o post de métricas de queima acabou deixando implícita sem querer. Dois números muito diferentes, e por que a diferença importa Duas cifras saíram disso, e tratá-las como uma só é como a história fica distorcida. A menor é algo em torno de US$ 250 milhões, o valor mantido em apps DeFi da Aptos que uma empresa independente, Grego AI, avaliou como em risco direto. A maior é a cifra de US$ 70 bilhões, e ela só aparece quando você acompanha a falha para fora, por bridges entre cadeias como Wormhole e LayerZero, sistemas de stablecoin e exchanges que negociam APT e suas versões envoltas (wrapped).

Bridges são o ponto fraco. Elas agrupam ativos de várias cadeias ao mesmo tempo, então um evento de ativo forjado que comece no Aptos poderia, no pior cenário modelado, drenar dinheiro que originalmente veio da Ethereum. Os US$ 70 bilhões são um total de pior caso construído sobre uma pilha de premissas, e não dinheiro que estivesse lá, parado, pronto para ser capturado em um movimento limpo.

| Figura | | --- | O que representa | Fonte | | --- | --- | --- | | US$ 250M | Valor em apps DeFi da Aptos em risco direto | Grego AI | | US$ 70B | Risco sistêmico de pior caso em bridges, stablecoins e exchanges | Hexens | | US$ 3,000 | Custo de servidor para simular aproximadamente um terço de validadores | Hexens | | US$ 1M | Maior faixa de premiação (bounty) por bug no Aptos | Programa de bug bounty da Aptos |

A Aptos Labs não contesta o relatório em si. Ela confirma a notificação de 25 de fevereiro pelo programa de bug bounty e diz que o problema já estava sendo trabalhado internamente. O que ela contesta é a gravidade, argumentando que as condições reais da rede tornariam o exploit muito mais difícil de executar do que a configuração de testes sugeria, e colocando a explorabilidade no mundo real como “extremamente baixa.” Essa alegação bate de frente com a validação independente de Gupta, e as duas posições não foram reconciliadas publicamente. Existe uma segunda lacuna que vale destacar, e ela tem a ver com incentivos, não com código. O bounty tem teto de US$ 1 milhão. Um exploit desse tipo renderia múltiplos desse valor no mercado negro, e a Hexens ainda divulgou isso — o que é justamente o motivo de existir um bounty.

| A leitura de ameaça sistêmica | | --- | A leitura de resiliência | | A configuração de US$ 3.000 poderia ameaçar uma layer-1 de primeira linha | Corrigido em poucas horas, sem disrupção de rede | | Um bug central sugere risco por categoria para cadeias Move | A Aptos diz que condições reais deixaram a explorabilidade bem baixa | | Uma falha poderia alcançar ativos de bridge e stablecoin | O bounty direcionou um resultado de “white-hat” em vez de uma venda |

O que o gráfico do APT faz enquanto o debate acontece Os traders, em grande parte, deram de ombros. No gráfico de 4 horas de Aptos/USD da Coinbase,** puxado via TradingView,** o APT passou a ser negociado perto de US$ 0,635 em 7 de julho, mantendo-se acima da média móvel de 50 períodos em US$ 0,6061 e da linha de 100 períodos em US$ 0,6147, enquanto encontrava a média de 200 períodos em US$ 0,6410 como resistência “por cima”. Uma média móvel é apenas o preço de fechamento médio ao longo dessas velas, e essa estrutura aponta para um repique real que ainda não limpou a tendência de baixa maior, aquela que puxou o APT de aproximadamente US$ 1,00 em meados de maio para cerca de US$ 0,55. O RSI, um indicador de pressão de compra que vai de 0 a 100, ficou em 58,77, acima do nível neutro de 50, mas longe da linha de 70 que sinaliza um mercado superaquecido. **CoinMarketCap ** colocou o APT em alta de 9,91% na semana, a US$ 0,6339, então a divulgação parece mais um peso sobre o sentimento do que um gatilho para uma venda real. O conserto que dura mais do que este ciclo de notícias Quem constrói leva o peso no curto prazo. Qualquer pessoa rodando um app na Aptos tem motivo para reavaliar como o código lida com o tipo de caso-limite que a Hexens encontrou, e grandes investidores podem manter um prêmio de risco um pouco maior em tokens baseados em Move como APT e SUI enquanto revisam novamente os fundamentos da rede. Duas coisas, porém, devem permanecer após a cobertura desaparecer. A primeira é o teto do bounty. Um teto de US$ 1 milhão parece cada vez menor perto do valor que ele deveria proteger, e projetos concorrendo com compradores do mercado negro podem não ter escolha além de elevá-lo. A segunda é uma mudança na pergunta que pesquisadores realmente fazem. Por anos, os “direitos de se gabar” foram sobre quantas transações uma cadeia consegue empurrar. Esse incidente desloca o foco para a habilidade oposta: quão rápido uma rede consegue parar a si mesma. Cadeias rápidas cada vez mais precisam de “kill switches” automáticos que congelam transferências entre cadeias instantaneamente quando algo parece errado, porque assim que um humano percebe, as transações já passaram. Aptos está prestes a fazer esse experimento com ela mesma. Uma proposta para ocultar detalhes de transações até depois que elas forem confirmadas — o que tornaria o front-running mais difícil — já está avançando na votação da comunidade, enquanto outras atualizações buscam tempos ainda mais rápidos de confirmação. Cada uma dessas melhorias adiciona velocidade e aumenta o valor em jogo, a mesma combinação que a divulgação da Hexens mostrou ser capaz de transformar um único bug em algo sistêmico. Se o próximo momento de segurança do Move vai soar como tranquilização ou como repetição se resume a uma coisa: se essas atualizações serão entregues com o tipo de salvaguardas embutidas que este episódio defendeu.a