Aptos Tambal Celah Kritis, Risiko Teoretis Disebut Capai US$70 Miliar

Sebuah blockchain yang memproses transaksi bernilai miliaran dolar setiap hari nyaris menghadapi skenario terburuk. Aptos Labs menutup celah kritis pada mesin virtual Move setelah peneliti keamanan menunjukkan bahwa serangan simulasi dapat berhasil hampir 90% hanya dengan konfigurasi server sederhana. Kerentanan yang disebut bug "stalecache" itu dilaporkan oleh perusahaan keamanan blockchain Hexens pada 25 Februari 2026. Aptos merilis perbaikan ke mainnet dalam hitungan jam. Pada 27 Februari, Aptos mengajukan pull request publik yang merinci patch tersebut dan kaitannya dengan program bug bounty perusahaan. Apa dampaknya Celah berada di Move virtual machine, lingkungan eksekusi yang memproses seluruh smart contract di jaringan. Bug ini berpotensi memungkinkan penyerang mengambil alih struct on-chain dan resource otoritas, sehingga dapat memanipulasi struktur data inti yang menentukan kepemilikan aset di blockchain. Hexens mendemonstrasikan serangan proof-of-concept dengan perangkat server berbiaya sekitar US$3.000, sementara tiap percobaan serangan disebut berada pada kisaran ratusan dolar. Dalam simulasi, tingkat keberhasilan mendekati 90%. Hexens memperkirakan risiko sistemik mencapai US$70 miliar, dengan memasukkan eksposur stablecoin, cross-chain bridge, serta protokol DeFi yang dibangun di atas atau terhubung ke Aptos. Bridge dinilai sangat sensitif karena menampung aset gabungan dari berbagai chain, sehingga satu eksploit yang sukses dapat menguras dana yang berasal dari jaringan lain. CTO Polygon, Mudit Gupta, melakukan peninjauan independen atas proof-of-concept tersebut dan menyatakan temuan peneliti valid. Respons Aptos dan perbedaan pandangan Aptos menyatakan tidak ada dana pengguna yang hilang dalam insiden ini. Perusahaan juga menegaskan proses dari penemuan hingga patch mainnet berlangsung dalam hitungan jam. Aptos mempersoalkan klaim terkait kemudahan eksploitasi di kondisi mainnet sebenarnya, dengan alasan keterbatasan dunia nyata dapat membuat serangan lebih sulit dibandingkan lingkungan simulasi. Sikap ini berseberangan dengan validasi independen Gupta atas proof-of-concept. Pull request publik pada 27 Februari mendokumentasikan perbaikan teknis sekaligus memformalkan keterkaitan dengan program bug bounty Aptos, yang menawarkan hadiah hingga US$1 juta untuk pengungkapan kerentanan kritis. Yang perlu dicermati investor dan builder Angka risiko sistemik US$70 miliar merepresentasikan eksposur teoretis maksimum jika penyerang mampu merangkai seluruh jalur yang rentan secara bersamaan. Dari sisi biaya, server US$3.000 dan ratusan dolar per percobaan merupakan hambatan yang rendah bagi pelaku yang membidik jaringan bernilai tinggi. Protokol yang mengandalkan Aptos untuk settlement, terutama cross-chain bridge, perlu menjadikan pengungkapan ini sebagai pemicu untuk mengaudit ketergantungan dan asumsi keamanan mereka. Batas imbalan bug bounty Aptos sebesar US$1 juta tergolong kompetitif. Meski begitu, mengingat eksposur teoretis kerentanan ini berada pada kisaran puluhan miliar dolar, peneliti yang berpotensi menjualnya di pasar abu-abu dengan nilai jauh lebih tinggi memilih jalur pengungkapan yang bertanggung jawab.