AptosにMove VMの重大欠陥、ネットワーク価値70Bドル相当の波及リスクとハッカー指摘

暗号資産業界で資金力のあるレイヤー1（L1）の一角、Aptosで、わずか約3,000ドルのサーバー構成でも悪用可能になり得る脆弱性が示された。ブロックチェーンセキュリティ企業Hexensは、AptosのMove仮想マシン（Move VM）に"stalecache bug"と呼ぶ不具合を2026年2月25日に発見したと発表。推定されるシステミックリスクは70 billion（700億）ドル規模に及ぶという。 Hexensによれば、問題はスマートコントラクトを実行するMove VMにおける型混同（type confusion）の脆弱性で、データ型の誤認を誘発できる可能性がある。この種の欠陥が悪用されると、ミント権限やブリッジの制御といった重要なオンチェーン資源の乗っ取りにつながり得る。 同社が攻撃をシミュレーションしたところ、約3,000ドルのサーバー環境で成功率は90%近くに達し、20回の試行のうち17〜18回で成立したとする。PolygonのCTOであるMudit Gupta氏も概念実証（PoC）を独自に検証し、Hexensの見立てに一定の裏付けを与えた。 Hexensが示した"70 billion"という数字は、Aptosの直接的なTVL（預かり資産）を指すものではない。セキュリティ評価企業Grego AIはAptosのTVLを約250 million（2億5,000万）ドルと推計している。Hexensは、Aptos基盤に依存するステーブルコイン、Aptos上のDeFi、他ネットワークと接続するクロスチェーンブリッジ、Aptosを経由する中央集権型取引所（CEX）の経路など、エコシステム全体に連鎖的な損害が波及し得る点を踏まえてシステミックリスクを算定したとしている。 一方、Aptos Labsは深刻度評価に異議を唱え、メインネットの実環境では実用上の悪用可能性は低いとの見解を示した。 Aptos Labsは発見から2日後の2026年2月27日にメインネットで修正を適用し、資金流出は確認されていない。開示はSEAL911の緊急連絡チャネルを通じて調整され、脆弱性が特定された同日に下流の4プロジェクトへ通知したという。一般公開は責任ある開示手順に沿い、2026年7月4日に行われた。Aptosはバグバウンティ制度を運用しており、重大な脆弱性に対して最大1 million（100万）ドルの報奨金を提示している。 Move VMはMetaのDiemプロジェクトで開発された経緯があり、安全性を重視した設計思想で知られる。Aptosは、同じくMove系L1のSuiに加え、SolanaやEthereumのスケーリングソリューションとも競合する。推定70 billionドルというシステミックリスク評価は見解が割れているものの、DeFiチームが展開先を選定する際のセキュリティ実績や基盤レイヤーの信頼性評価において、無視できない材料になり得る。