Aptos corrige falha crítica com risco teórico de US$ 70 bilhões

Uma blockchain que movimenta bilhões de dólares em transações diárias esteve a poucos centenas de dólares de um cenário potencialmente desastroso. A Aptos Labs corrigiu uma vulnerabilidade crítica na máquina virtual Move após pesquisadores de segurança mostrarem que, em simulações, um ataque poderia funcionar em quase 90% das tentativas usando apenas uma infraestrutura modesta. A falha, conhecida como bug de "stalecache", foi reportada pela empresa de segurança de blockchain Hexens em 25 de fevereiro de 2026. A Aptos implementou o patch na mainnet em poucas horas e, em 27 de fevereiro, publicou um pull request detalhando a correção e a relação com seu programa de bug bounty. O que a vulnerabilidade permitia O problema estava na máquina virtual Move, ambiente que executa todos os contratos inteligentes da rede. Em tese, um invasor poderia sequestrar structs on-chain e recursos de autoridade, abrindo caminho para manipular estruturas centrais de dados que determinam quem possui o quê na blockchain. A Hexens demonstrou provas de conceito com um servidor estimado em cerca de US$ 3.000. Cada tentativa de ataque custaria "algumas centenas de dólares", e a taxa de sucesso nas simulações chegou a quase 90%. A Hexens calculou o risco sistêmico em US$ 70 bilhões, somando stablecoins, pontes entre blockchains e protocolos DeFi construídos sobre a Aptos ou conectados a ela. Pontes são alvos especialmente sensíveis por manterem ativos agrupados de múltiplas redes; um único exploit bem-sucedido pode drenar fundos originados em outras cadeias. O CTO da Polygon, Mudit Gupta, revisou de forma independente a prova de conceito e validou as conclusões dos pesquisadores. Resposta da Aptos e a divergência sobre explorabilidade Não houve perda de fundos de usuários. A Aptos Labs afirma ter ido da descoberta ao patch na mainnet em questão de horas. A empresa contestou as alegações sobre a facilidade de exploração em condições reais da mainnet, argumentando que restrições do mundo real tornariam o ataque mais difícil do que o sugerido pelo ambiente simulado. Essa posição entra em atrito com a validação independente de Gupta sobre a prova de conceito. O pull request público de 27 de fevereiro registrou a correção técnica e formalizou o vínculo com o bug bounty da Aptos, que prevê recompensas de até US$ 1 milhão por divulgações de vulnerabilidades críticas. O que investidores e desenvolvedores devem observar A estimativa de US$ 70 bilhões reflete a exposição máxima teórica caso um atacante conseguisse encadear todas as rotas vulneráveis ao mesmo tempo. Um servidor de US$ 3.000 e um custo de "poucas centenas" por tentativa representam uma barreira baixa para um adversário mirando uma rede de alto valor. Protocolos que dependem da Aptos para liquidação, especialmente pontes cross-chain, devem tratar a divulgação como um sinal para revisar auditorias e dependências. O teto de US$ 1 milhão do bug bounty é competitivo, mas, diante de uma exposição teórica na casa de dezenas de bilhões, o caso também destaca que um pesquisador que poderia ter monetizado a falha em um mercado cinza por valores bem maiores optou por divulgação responsável.