La firma de seguridad blockchain Hexens reveló una vulnerabilidad crítica de confusión de tipos en la máquina virtual Move de Aptos que, de haberse explotado, podría haber expuesto alrededor de 70 000 millones de dólares en riesgo cripto sistémico, abarcando puentes, administración de stablecoins, mensajería cross-chain y rieles de depósito de exchanges centralizados. La falla se originó en un error de caché obsoleta en el entorno de ejecución que procesa los contratos inteligentes de Move en Aptos, la cadena de capa 1 cuyo lenguaje Move fue desarrollado originalmente dentro del ahora archivado proyecto Diem de Facebook.
Los investigadores simularon la ruta de ataque unas 20 veces en un entorno de prueba construido para aproximarse a las condiciones de la mainnet de Aptos, utilizando un clúster de más de 30 nodos validadores, tráfico orgánico de transacciones y una configuración de servidor con un coste aproximado de 3 000 dólares. Tuvieron éxito entre 17 y 18 veces. Las dos o tres ejecuciones fallidas no detuvieron la red; el atacante simplemente podría haber esperado otra ventana. El CTO de Polygon, Mudit Gupta, que revisó de forma independiente los materiales de la prueba de concepto, afirmó que el exploit era sólido: "Se ejecutó como se describía, y el exploit tenía sentido".
Por qué importa
La sensibilidad de esta clase de errores se debe a cómo Move gestiona la autoridad. Los permisos del protocolo, incluido el derecho a emitir un stablecoin, controlar un puente o administrar un mercado de préstamos, se almacenan a menudo directamente como recursos onchain. Si esos recursos se ven comprometidos, el daño no se limita a un protocolo; se extiende a todo lo que confía en ellos. Grego AI, que verificó de forma independiente la prueba de concepto, calculó que aproximadamente 250 millones de dólares en TVL nativo de Aptos estaban directamente en riesgo, y señaló que el exploit también podría haberse utilizado para robar capacidades de protocolo, incluidas las que mantenían LayerZero, Wormhole y el Cross-Chain Transfer Protocol de USDC.
Aptos Labs reconoció el informe y aseguró que se desarrolló, probó y desplegó una solución en mainnet en cuestión de horas tras su descubrimiento el 25 de febrero, sin usuarios ni fondos afectados. El equipo también discutió la explotabilidad práctica del error, indicando a CoinDesk que su análisis determinó que "el error tendría una explotabilidad extremadamente baja en condiciones reales". Hexens afirma no haber recibido una refutación técnica ni un argumento basado en evidencia que dispute las clases de impacto demostradas.
Impacto en el mercado
La divulgación llega en un momento en el que varios errores de alto perfil ya han recordado a la industria lo delgado que puede ser el margen.
Preguntas frecuentes
-
¿Cuál fue la vulnerabilidad en la Move VM de Aptos?
Un error de caché obsoleta que provocó una vulnerabilidad de confusión de tipos en la máquina virtual Move de Aptos, el entorno de ejecución que procesa los contratos inteligentes de Move en la cadena. Se reportó a través del programa de bug bounty de Aptos el 25 de febrero y se parcheó en cuestión de horas.
-
¿Cuánto podría haber puesto en riesgo esta falla?
Hexens evaluó alrededor de 70 000 millones de dólares en riesgo sistémico más amplio de primer orden, incluyendo puentes, administración de stablecoins, mensajería cross-chain y rieles de depósito de exchanges centralizados. Grego AI calculó por separado unos 250 millones de dólares en TVL nativo de Aptos como…
-
¿Cómo simularon los investigadores el ataque?
Hexens ejecutó la ruta del exploit unas 20 veces en un entorno simulado con un clúster de más de 30 nodos validadores, tráfico orgánico de transacciones y una configuración de servidor que costó aproximadamente 3 000 dólares. Tuvieron éxito entre 17 y 18 veces; las dos o tres ejecuciones fallidas no detuvieron la red.
-
¿Confirmó Aptos que el error fue explotado o que se perdieron fondos?
No. Aptos Labs señaló que el problema se reportó a través de su programa de bug bounty el 25 de febrero, que se desarrolló, probó y desplegó una solución en mainnet en cuestión de horas, y que no se vieron afectados usuarios ni fondos. El equipo discutió la explotabilidad práctica del error.
-
¿Por qué esta clase de error es tan sensible para las cadenas basadas en Move?
Los permisos del protocolo en Move, incluido el derecho a emitir un stablecoin, controlar un puente o administrar un mercado de préstamos, se almacenan a menudo directamente como recursos onchain. Si esos recursos se ven comprometidos, el daño se extiende a todos los protocolos que confían en ellos, incluidos…
CryptoSlate
TheBlock
WuBlockchain
CoinTelegraph
Lookonchain