Une société de sécurité a révélé qu’Aptos, l’une des blockchains de couche 1 les plus rapides, comportait une faille critique pendant des mois avant qu’elle ne soit discrètement corrigée. Le 4 juillet, Hexens a rendu public un bug qu’il avait signalé en privé à Aptos le 25 février, une faiblesse dans le moteur qui gère les contrats intelligents de la chaîne qui, selon sa propre estimation, mettait en jeu jusqu’à 70 milliards de dollars de risque théorique sur les ponts, les pièces stables et les échanges connectés. Aptos Labs l’a corrigé quelques heures après ce premier rapport, et aucun fonds d’utilisateur n’a jamais été touché.
Alors pourquoi un patch vieux de cinq mois fait-il l’actualité maintenant ? Deux raisons. Le numéro, évidemment. Mais aussi le détail qui se cache en dessous : ce qu’Aptos commercialise le plus est la vitesse brute, et la vitesse brute est exactement ce qui transforme 70 milliards de dollars d’un titre alarmant en une estimation défendable.
Sommaire
Une vantardise à débit record, un jour après la révélation de l’histoire
Le 5 juillet, à peine 24 heures après la publication du rapport, le compte rendu officiel du projet a donné suite à son mise à jour mensuelle programmée des tokenomicssignalant 232 500 APT brûlées au cours des 30 derniers jours, plus de 16 millions de transactions en une seule journée pour un nouveau record trimestriel et des frais moyens de 0,0005 $ suite à une multiplication par dix des frais, le tout sous le slogan « la pile complète pour les marchés et les machines au travail ». Le message se lit très différemment une fois que vous avez la divulgation Hexens devant vous, car les transactions quasi gratuites et le débit énorme promu par Aptos sont exactement les mêmes propriétés qu’un chercheur en sécurité pèse en premier lorsqu’il calcule combien pourrait réellement coûter un seul bug dans le cœur de la chaîne.
Chaque transaction sur Aptos brûle des $APT. Mise à jour du nouveau mois :
• 232,5 000 APT brûlés au cours des 30 dernières journées
• 1,4 million d’APT au total brûlées depuis le réseau principal
• +16 millions de transactions par jour : un nouveau record trimestriel
• Frais de transmission moyens de 0,0005 $ depuis l’augmentation des frais par 10.La pile complète pour les marchés et les machines au travail. pic.twitter.com/gPEuWzD1Qf
– Aptos (@Aptos) 5 juillet 2026
Le bug vivait sous le code vérifié par la plupart des audits
Aptos est construit sur Move, un langage de programmation spécialement conçu pour rendre ce type d’attaque difficile. Move traite les jetons et autres actifs numériques comme des éléments protégés et vérifie, au moment où une transaction est exécutée, que rien n’est traité comme un mauvais type de chose. Cette promesse de sécurité explique en grande partie pourquoi Aptos et Sui présentent Move comme plus sûr que les environnements plus anciens.
La faille Hexens s’est glissée sous cette promesse au lieu de la briser de front. En termes simples, le système a brièvement fonctionné à partir d’informations obsolètes et a fini par confondre un type d’élément en chaîne avec un autre. Les responsables de la sécurité appellent cela « confusion de types », un vieux problème logiciel dans lequel un programme lit quelque chose comme étant du mauvais type et passe directement au-delà des contrôles destinés à l’arrêter. Sur une blockchain, cette confusion est dangereuse : un attaquant pourrait déguiser un élément malveillant en élément légitime et tromper le réseau en lui faisant mal comprendre qui possède un actif et qui est autorisé à le déplacer.
Mudit Gupta, CTO de Polygon, a examiné la preuve de concept de manière indépendante et a dit à CoinDesk qu’il fonctionnait comme indiquéavec la mise en garde que quelques conditions devaient d’abord être remplies. Venant du chef de la sécurité d’une chaîne rivale, cela a plus de poids que tout ce qu’Aptos ou Hexens pourraient dire seuls.
Pourquoi des frais bon marché et un volume énorme aggravent le bug
Le débit cesse ici d’être un axe marketing et commence à se comporter comme un multiplicateur de risque. Hexens a lancé l’attaque contre un cluster de plus de 30 nœuds de validation, configurés pour refléter le réseau réel, sur une plate-forme de serveur qui coûtait environ 3 000 $ et représentait environ un tiers de l’ensemble des validateurs. Cela a fonctionné 17 ou 18 fois sur 20, sans accès interne ni autorisation spéciale requis.
Pliez les personnages vivants et l’image devient plus nette. Pour une fraction de centime par transaction, inonder la chaîne de charges utiles malveillantes est presque gratuit. Avec 16 millions de transactions par jour, avec des blocages confirmés en quelques secondes, un attaquant capable de falsifier des actifs n’aurait besoin que d’une courte fenêtre pour les créer et les déplacer avant que quiconque ne réagisse. La vitesse est neutre. Le même moteur qui efface un volume légitime en quelques secondes effacerait un faux travail de création et de transfert au même rythme, et les humains qui gèrent le réseau ne peuvent pas réagir aussi rapidement.
C’est la partie soulignée accidentellement par le message de burn-metrics.
Deux chiffres très différents, et pourquoi l’écart est important
Deux personnages en sont ressortis, et les traiter comme un seul est la façon dont l’histoire est déformée. Le plus petit s’élève à environ 250 millions de dollars, soit la valeur détenue dans les applications Aptos DeFi que la société indépendante Grego AI a jugée directement menacée. Le plus gros est celui de 70 milliards de dollars, et il n’apparaît qu’une fois que vous avez suivi la faille vers l’extérieur à travers des ponts inter-chaînes comme Wormhole et LayerZero, des systèmes stablecoin et les bourses qui négocient APT et ses versions enveloppées.
Les ponts sont le point faible. Ils regroupent les actifs de plusieurs chaînes à la fois, de sorte qu’un événement d’actifs contrefaits qui démarre sur Aptos pourrait, dans le pire des cas modélisés, drainer l’argent provenant à l’origine d’Ethereum. Les 70 milliards de dollars représentent le total le plus pessimiste, construit sur une pile d’hypothèses, et non sur des liquidités qui auraient pu être récupérées d’un seul coup.
| Chiffre | Ce que cela représente | Source |
|---|---|---|
| 250 millions de dollars | La valeur des applications Aptos DeFi est directement menacée | Grego IA |
| 70 milliards de dollars | Dans le pire des cas, risque systémique sur les ponts, les pièces stables et les bourses | Hexens |
| 3 000 $ | Coût du serveur pour simuler environ un tiers des validateurs | Hexens |
| 1 million de dollars | Niveau de paiement maximum du bug bounty Aptos | Programme de prime aux bogues Aptos |
Aptos Labs ne conteste pas le rapport lui-même. Il confirme la notification du 25 février via le programme de bug bounty et indique que le problème était déjà en cours de traitement en interne. Ce qu’il conteste, c’est la gravité, en arguant que les conditions réelles du réseau ont rendu l’exploit beaucoup plus difficile à réaliser que ne le laissait entendre la configuration de test, et en plaçant l’exploitabilité dans le monde réel à « extrêmement faible ». Cette affirmation rejoint directement la validation indépendante de Gupta, et les deux positions n’ont pas été conciliées en public.
Il existe une deuxième lacune qui mérite d’être signalée, et elle concerne les incitations plutôt que le code. La prime plafonne à 1 million de dollars. Un exploit de ce type rapporterait plusieurs multiples de cela sur le marché noir, et Hexens a quand même révélé que c’est tout l’intérêt d’offrir une prime.
| La lecture de la menace systémique | La lecture de la résilience |
|---|---|
| Une configuration à 3 000 $ pourrait menacer une couche 1 de premier plan | Correctif en quelques heures, aucune interruption du réseau |
| Un bug principal fait allusion au risque de catégorie pour les chaînes de déplacement | Aptos affirme que les conditions réelles ont rendu l’exploitabilité très faible |
| Une faille pourrait atteindre les actifs bridge et stablecoin | La prime a conduit à un résultat de chapeau blanc sur une vente |
Ce que fait le graphique APT pendant le débat
Les commerçants ont pour la plupart ignoré cela. Sur le graphique Aptos/USD sur 4 heures de Coinbase, extrait via TradingView, APT a changé de mains à près de 0,635 $ le 7 juillet, se maintenant au-dessus de sa moyenne mobile sur 50 périodes à 0,6061 $ et de sa ligne sur 100 périodes à 0,6147 $, tout en se heurtant à la moyenne sur 200 périodes à 0,6410 $ en guise de résistance. Une moyenne mobile n’est que le prix de clôture moyen sur autant de bougies, et cette disposition indique un véritable rebond qui n’a pas encore effacé la tendance baissière la plus importante, celle qui a fait passer l’APT d’environ 1,00 $ à la mi-mai à environ 0,55 $.
Le RSI, un indicateur de pression d’achat allant de 0 à 100, se situe à 58,77, au-dessus de la barre neutre de 50 mais loin de la ligne de 70 qui signale un marché surchauffé. CoinMarketCap L’APT a augmenté de 9,91 % sur la semaine à 0,6339 $, de sorte que la divulgation ressemble à un poids sur le sentiment plutôt qu’à un déclencheur de ventes réelles.
Le correctif qui survit à ce cycle d’actualités
Les constructeurs supportent la charge à court terme. Quiconque exécute une application sur Aptos a une raison de revérifier comment son code gère le type de cas extrême trouvé par Hexens, et les grands investisseurs peuvent conserver une prime de risque légèrement plus élevée sur les jetons basés sur Move comme APT et SUI pendant qu’ils jettent un autre regard sur les fondations du réseau.
Deux choses, cependant, risquent de persister après la disparition de la couverture. Le premier est le plafond des primes. Un plafond d’un million de dollars semble de plus en plus petit au regard de la valeur qu’il est censé protéger, et les projets en concurrence avec les acheteurs du marché noir n’auront peut-être pas d’autre choix que de l’augmenter. La seconde est un changement dans la question que se posent réellement les chercheurs. Pendant des années, le droit de se vanter a porté sur le nombre de transactions qu’une chaîne peut effectuer. Cet incident attire l’attention sur la compétence opposée : la rapidité avec laquelle un réseau peut s’arrêter. Les chaînes rapides ont de plus en plus besoin de « coupe-circuit » automatiques qui gèlent les transferts entre chaînes dès que quelque chose ne va pas, car une fois qu’un humain le remarque, les transactions sont déjà terminées.
Aptos est sur le point de mener cette expérience sur lui-même. Une proposition visant à masquer les détails des transactions jusqu’à leur confirmation, ce qui rendrait la procédure plus difficile, est déjà en cours de vote par la communauté, tandis que d’autres mises à niveau visent des délais de confirmation encore plus rapides. Chacun de ces éléments ajoute de la vitesse et ajoute de la valeur en jeu, la même combinaison que la divulgation Hexens a montrée peut transformer un seul bug en un bug systémique. Que le prochain moment de sécurité de Move soit considéré comme un réconfort ou une répétition se résume à une chose : si ces mises à niveau sont livrées avec le type de protections intégrées pour lesquelles cet épisode a plaidé.a
