🔴#EthicalHackersFindAptosFlawRisking$70B — Ein Bug, ein $3K-Server, eine Beinahe-Katastrophe
70 Milliarden. Ein $3.000-Server. Und eine 90%ige Erfolgsquote.
Hier ist die kurze Version der Story, die jeden L1-Builder wach hält.
Der Bug
Die Security-Firma Hexens — Forscher Vahe Karapetyan — fand Ende Februar eine veraltete-Cache / Typ-Verwechslungs-Schwachstelle in Aptos' Move VM. Auf den Punkt: Die Move Virtual Machine konnte dazu gebracht werden, eine eine On-Chain-Resource fälschlicherweise für eine andere zu halten.
Warum das beängstigend ist: Move speichert Protokollberechtigungen — die Autorität, Stablecoins zu prägen, Bridges zu kontrollieren, Lending-Märkte zu verwalten — als On-Chain-Resources. Wenn man die VM darüber verwirren kann, was eine Resource ist, kann man diese Berechtigungen kapern.
Der Exploit
Hexens simulierte reale Mainnet-Bedingungen: 30+ Validator-Knoten, organischer Traffic, starke Ausführungs-Engpässe. Sie führten den Angriff 20-mal aus. Er gelang 17-18-mal (~90%). Kein Insider-Zugang. Keine speziellen Berechtigungen. Nur ein $3.000-Server .
Polygon CTO Mudit Gupta verifizierte unabhängig: „Das lief wie behauptet. Der Exploit ergab Sinn.“
Die Exponierung
Direktes Aptos-native TVL-Risiko: ~$250MBBayerübergreifende systemische Exponierung: ~$70B — über Bridges (LayerZero, Wormhole), Stablecoin-Infrastruktur (USDC CCTP) und zentralisierte Exchanges
Die Forschenden zeigten, dass sie Master-Minter-Rollen, Bridge-Fähigkeiten und Signer-Berechtigungen abgreifen konnten. Grego AI's CEO: „Wenn bösartige Akteure Zugriff auf diesen Bug gehabt hätten, hätten sie in der Lage gewesen, das gesamte TVL zu nehmen, das sie wollten.“
Die Reaktion
Gemeldet am 25. Feb. Gefixt innerhalb von Stunden . Kein Geld verloren. Aptos bestreitet die praktische Ausnutzbarkeit und nennt es „extrem geringe Ausnutzbarkeit unter realen Bedingungen“.
Aber hier die unbequeme Wahrheit: $70B systemisches Risiko verschwinden nicht, weil ein Team einen Bug gepatcht hat. Es verschwindet, wenn der gesamte Stack sicher ist. Und im Zeitalter der Mythos — in dem KI-Agenten 10.000+ kritische Schwachstellen im gesamten Stack finden — steigen die Einsätze nur weiter.
Eine Frage: Wie viele davon sind noch draußen? 🔐
$BTC $ETH $SOL
70 Milliarden. Ein $3.000-Server. Und eine 90%ige Erfolgsquote.
Hier ist die kurze Version der Story, die jeden L1-Builder wach hält.
Der Bug
Die Security-Firma Hexens — Forscher Vahe Karapetyan — fand Ende Februar eine veraltete-Cache / Typ-Verwechslungs-Schwachstelle in Aptos' Move VM. Auf den Punkt: Die Move Virtual Machine konnte dazu gebracht werden, eine eine On-Chain-Resource fälschlicherweise für eine andere zu halten.
Warum das beängstigend ist: Move speichert Protokollberechtigungen — die Autorität, Stablecoins zu prägen, Bridges zu kontrollieren, Lending-Märkte zu verwalten — als On-Chain-Resources. Wenn man die VM darüber verwirren kann, was eine Resource ist, kann man diese Berechtigungen kapern.
Der Exploit
Hexens simulierte reale Mainnet-Bedingungen: 30+ Validator-Knoten, organischer Traffic, starke Ausführungs-Engpässe. Sie führten den Angriff 20-mal aus. Er gelang 17-18-mal (~90%). Kein Insider-Zugang. Keine speziellen Berechtigungen. Nur ein $3.000-Server .
Polygon CTO Mudit Gupta verifizierte unabhängig: „Das lief wie behauptet. Der Exploit ergab Sinn.“
Die Exponierung
Direktes Aptos-native TVL-Risiko: ~$250MBBayerübergreifende systemische Exponierung: ~$70B — über Bridges (LayerZero, Wormhole), Stablecoin-Infrastruktur (USDC CCTP) und zentralisierte Exchanges
Die Forschenden zeigten, dass sie Master-Minter-Rollen, Bridge-Fähigkeiten und Signer-Berechtigungen abgreifen konnten. Grego AI's CEO: „Wenn bösartige Akteure Zugriff auf diesen Bug gehabt hätten, hätten sie in der Lage gewesen, das gesamte TVL zu nehmen, das sie wollten.“
Die Reaktion
Gemeldet am 25. Feb. Gefixt innerhalb von Stunden . Kein Geld verloren. Aptos bestreitet die praktische Ausnutzbarkeit und nennt es „extrem geringe Ausnutzbarkeit unter realen Bedingungen“.
Aber hier die unbequeme Wahrheit: $70B systemisches Risiko verschwinden nicht, weil ein Team einen Bug gepatcht hat. Es verschwindet, wenn der gesamte Stack sicher ist. Und im Zeitalter der Mythos — in dem KI-Agenten 10.000+ kritische Schwachstellen im gesamten Stack finden — steigen die Einsätze nur weiter.
Eine Frage: Wie viele davon sind noch draußen? 🔐
$BTC $ETH $SOL