Un fallo en Aptos podría poner en riesgo 70.000 millones de dólares del ecosistema, según investigadores

Dos hackers éticos han mostrado que una infraestructura de servidor de unos 3.000 dólares podría bastar para intentar comprometer Aptos, una de las blockchains Layer 1 mejor financiadas del sector cripto. La brecha, localizada en la máquina virtual Move (Move VM) de Aptos, implicaría un riesgo sistémico estimado en 70.000 millones de dólares, con potencial impacto en stablecoins, protocolos DeFi, puentes cross-chain y rutas de acceso a través de exchanges centralizados. Un vector barato con alta tasa de éxito La firma de seguridad blockchain Hexens detectó el 25 de febrero de 2026 lo que denomina un "stalecache bug" en la Move VM de Aptos. El fallo permitiría una vulnerabilidad de "type confusion", es decir, inducir al sistema a interpretar datos con tipos incorrectos. En un escenario de explotación, esto podría facilitar la toma de control de recursos críticos on-chain, incluidas autorizaciones de acuñación (minting) y sistemas de control de puentes. En sus simulaciones, Hexens afirma haber alcanzado una tasa de éxito cercana al 90%, con 17 resultados positivos de 20 intentos, utilizando un despliegue de servidores valorado en torno a 3.000 dólares. El CTO de Polygon, Mudit Gupta, validó de forma independiente la prueba de concepto, aportando respaldo adicional a los hallazgos. Por qué se habla de 70.000 millones y la respuesta de Aptos Hexens cifra el riesgo sistémico en 70.000 millones de dólares. No se trata del valor bloqueado (TVL) directo de Aptos: la firma de evaluación Grego AI lo sitúa en torno a 250 millones de dólares. La estimación pretende reflejar un posible efecto dominó sobre activos y servicios que dependen de la infraestructura de Aptos, desde stablecoins y aplicaciones DeFi hasta puentes cross-chain y determinados flujos vinculados a exchanges centralizados. Aptos Labs discrepa de la valoración de gravedad y sostiene que, en condiciones reales de la mainnet, la explotabilidad práctica del fallo sería baja. Cronología y corrección Aptos Labs corrigió la vulnerabilidad en su mainnet el 27 de febrero, dos días después del hallazgo. No se registraron pérdidas de fondos. La divulgación se coordinó a través de los canales de emergencia SEAL911 y, el mismo día en que se identificó el problema, se avisó a cuatro proyectos aguas abajo. La comunicación pública se realizó el 4 de julio de 2026, siguiendo protocolos de divulgación responsable. Aptos mantiene un programa de recompensas (bug bounty) con pagos de hasta 1 millón de dólares para vulnerabilidades graves. Implicaciones para inversores y equipos DeFi La Move VM, creada originalmente en el proyecto Diem de Meta, se diseñó con la seguridad como principio central. Aptos compite con Sui (otra Layer 1 basada en Move), además de Solana y las soluciones de escalado de Ethereum. Una estimación de riesgo sistémico de 70.000 millones de dólares, aunque discutida, pasa a formar parte del análisis de los equipos DeFi al decidir dónde desplegar y al evaluar el historial de seguridad de la capa base.