白帽黑客：Aptos Move VM 漏洞或令網絡價值面臨 700 億美元系統性風險

兩名白帽黑客表示，只需約 3,000 美元的伺服器配置，理論上已足以嘗試攻破加密市場資金最充裕的 Layer 1 公鏈之一 Aptos。區塊鏈安全公司 Hexens 指出，他們在 Aptos 的 Move 虛擬機（Move VM）發現一個被稱為「stalecache bug」的漏洞，估算可能帶來約 700 億美元的系統性風險，影響範圍包括穩定幣、DeFi 協議、跨鏈橋，以及通往中心化交易所的資金路徑。 Hexens 表示，該漏洞於 2026 年 2 月 25 日被確認，屬於 type confusion（類型混淆）問題，可誘使系統錯誤識別資料類型。若被利用，攻擊者可能挾持關鍵鏈上資源，例如鑄幣權限與跨鏈橋控制機制等。 在模擬攻擊中，Hexens 以約 3,000 美元的伺服器方案進行測試，指成功率接近 90%，在 20 次模擬中命中 17 次（17/20）。Polygon 首席技術官 Mudit Gupta 亦獨立驗證了該漏洞的概念驗證（PoC），為 Hexens 的發現增加可信度。 對於「700 億美元」的估算，Hexens 強調這並非 Aptos 的直接鎖倉量（TVL）。安全評估機構 Grego AI 估算 Aptos TVL 約為 2.5 億美元；700 億美元的口徑主要是把潛在連鎖效應納入計算，包括依賴 Aptos 基建的穩定幣、建立在其上的 DeFi 協議、連接其他網絡的跨鏈橋，以及以其作為路由的中心化交易所通道，一旦遭到挾持可能引發外溢式損害。 Aptos Labs 則不同意外界對嚴重性的評級，稱在主網實際情境下漏洞可被利用的程度偏低。 修補方面，Aptos Labs 在發現後兩天、即 2026 年 2 月 27 日已於主網完成修復，並指未有資金損失。事件經由 SEAL911 緊急通報渠道協調披露，同日亦已通知 4 個下游項目。公開披露時間為 2026 年 7 月 4 日，符合負責任披露流程。Aptos 亦維持漏洞賞金計劃，針對重大漏洞最高提供 100 萬美元獎金。 市場層面，Move VM 源自 Meta 的 Diem 項目，主打以安全為設計核心。Aptos 目前與同樣採用 Move 的 Layer 1（如 Sui），以及 Solana 與以太坊擴容方案競爭。即使「700 億美元系統性風險」的估算仍具爭議，相關討論仍可能影響 DeFi 團隊在選擇部署底層公鏈時對安全紀錄的評估與權衡。