資安公司 Hexens 技術長 Vahe Karapetyan 於 7 月 5 日在 Aptos 區塊鏈的 Move 虛擬機器中發現陳舊快取漏洞，導致型別混淆；此漏洞可誤導軟體繞過 Move 語言的型別安全保證。Hexens 以成本約 3,000 美元的伺服器架設模擬環境，在 20 次測試中攻擊成功率逼近九成。
3,000 美元伺服器 20 次模擬 17-18 次得手，攻擊成功率逼近九成
根據 Hexens 的技術報告，Karapetyan 團隊為驗證漏洞可行性，自建了逼近主網規模的模擬環境：超過 30 個驗證者節點、貼近主網的質押分布、真實交易流量與高強度執行競爭，架設成本約 3,000 美元；若發動真實攻擊，成本只會更低，且不需要驗證者權限、內部知識或特權存取。
Hexens 在模擬環境中測試約 20 次，成功 17-18 次，成功率逼近九成；即使偶有 2-3 次失敗，也不會讓網路停擺，攻擊者可耐心等待下一個時機視窗。
SEAL911 介入，數小時內修補完成並通知下游專案
根據 Aptos 官方及 CoinDesk 報道，Hexens 於 2026 年 2 月 25 日透過 Aptos bug bounty 計畫通報漏洞；Aptos 表示，收到通報時團隊內部已在處理此問題。加密產業志工型緊急應變團隊 SEAL911 當日開設作戰室；同一天下午，Aptos 通知受影響廠商及 4 個主要下游專案，並附上可本地端執行的概念驗證（PoC）。
Aptos 對 CoinDesk 表示：「修補在發現後數小時內就完成開發、測試並部署到主網，整個過程沒有任何用戶或資金受到影響。」公開的修補 pull request 於 2 月 27 日上線，但私有驗證者在公開 commit 之前已先完成修補部署。
Polygon 技術長 Mudit Gupta 及 Grego AI 獨立驗證 PoC 有效
根據 CoinDesk 報道，Aptos 官方與 Hexens 的評估出現明顯落差：Aptos 表示「分析認為此漏洞在真實世界條件下可利用性極低」，Hexens 則回應至今未收到任何基於證據的技術反駁。
Polygon 技術長 Mudit Gupta 獨立檢視 PoC 後表示：「它如宣稱般執行，漏洞說得通……需要滿足幾個條件，看來他們在主網上確實達成了。」
獨立機構 Grego AI 驗證 PoC 後，執行長 Justus Hanna 直言：「若惡意行為者拿到這個漏洞，他們能拿走任何他們想要的 TVL（總鎖倉價值）。」
風險估算：Aptos 原生 TVL 直接曝險約 2.5 億美元
根據 Hexens 及 Grego AI 的評估，此次漏洞的風險規模分為兩個層次：
Aptos 原生 TVL 直接曝險（Grego AI 評估）：基於近九成的攻擊成功率，約 2.5 億美元的 Aptos 原生 TVL 直接受到威脅，不包含跨鏈曝險
系統性風險（Hexens 評估）：最高達 700 億美元，涵蓋跨鏈橋、跨鏈訊息系統、穩定幣發行管理流程及中心化交易所可觸及資產；此數字的前提為攻擊者大量增發 USDC 並透過 Circle 的跨鏈轉帳協議（CCTP）將資產搬至其他鏈
Circle 的限制：Circle 表示在無法律授權的情況下不會凍結資產，意味著若各方及時介入，700 億美元風險全數兌現的機率有限
信任鏈擴散風險：Move 語言中的關鍵協議權限（鑄造穩定幣、控制跨鏈橋、管理借貸市場）以「鏈上資源」形式儲存，一旦遭攻陷，傷害會沿信任鏈擴散至所有依賴它的系統
Hexens 在實測中一度接管類似「master minter」的角色，循合法管理路徑操作，止步於實際鑄幣，但已足以證明此類角色須納入完整威脅模型。
常見問題
Aptos Move VM 的漏洞是什麼，如何運作？
根據 Hexens 技術報告，這是一個「陳舊快取漏洞（stale-cache bug）」，導致「型別混淆（type confusion）」；軟體被誤導將某種鏈上資源錯認為另一種，繞過 Move 語言的型別安全保證，等同讓攻擊者控制的程式碼直接寫入其他合約的儲存空間。
此漏洞已修補了嗎，修補時程為何？
根據 Aptos 官方聲明，漏洞於 2026 年 2 月 25 日通報後數小時內完成修補、測試並部署至主網，私有驗證者更早完成部署；公開 PR 於 2 月 27 日上線；Aptos 表示整個過程沒有用戶或資金受影響。
Hexens 評估的 700 億美元系統性風險是如何計算的？
根據 Hexens 評估，700 億美元涵蓋跨鏈橋、跨鏈訊息系統、穩定幣發行及中心化交易所可觸及資產；前提為攻擊者大量增發 USDC 並透過 Circle CCTP 搬至其他鏈。Circle 表示在無法律授權情況下不凍結資產，若各方及時介入，風險全數兌現的機率有限。
