アプトス、最大700億ドルに関連する重大なMove VMバグを修正
研究者によれば、アプトスのMove仮想マシンに存在したこの欠陥は、約3000ドルのサーバー資源で再現可能であり、ステーブルコインの発行権限やブリッジ管理権限の奪取成功率も高かった。
CoinDeskを含む複数の情報源が中核となる主張を確認している。アプトスは、研究者のHexensが実証したMove VMの重大なバグ（古いキャッシュと型混同に起因する欠陥）にパッチを適用した。この欠陥は、約3,000ドルのサーバーを使い、成功率約90%で数百ドル程度のコストで悪用可能だったとされ、最大700億ドルの資産をシステム全体のリスクにさらす可能性があった。CryptoBriefingも、同日中のパッチ適用（2026年2月25日）と、ポリゴンCTOのMudit Guptaによる独立したPoC検証を報じている。唯一のニュアンスとして、アプトスはメインネット環境下での完全な悪用可能性には異議を唱えており、資金流出も発生していない。また、700億ドルという数字は、実際にリスクにさらされた資金額が確認されたものではなく、システム上のエクスポージャーの上限を示すものであり、見出しの「最大700億ドル」との表現と整合的である。
アプトスは2月にセキュリティ企業Hexensから問題の開示を受けてから数時間以内に、重大なMove VMの脆弱性を修正し、資金流出は報告されなかった。Hexensによれば、このキャッシュ処理の不具合は理論上、型混同と特権アクセスを引き起こす可能性があり、ステーブルコインの発行、ブリッジ、DeFi（分散型金融）に影響し得た。Hexensは、直接的なエクスポージャーをネイティブのTVLで約2億5000万ドル、システム全体でのより広範なエクスポージャーを最大700億ドルと試算した。研究者によれば、この攻撃は約3000ドルのサーバー資源で再現可能で、ステーブルコインの発行権限やブリッジ管理権限の奪取成功率は約90%に達した。アプトスは、現実世界で悪用される可能性は極めて低いと述べた。
- Move VM: アプトス上でMove言語で記述されたスマートコントラクトを実行する仮想マシン。
- type confusion: プログラムがデータを誤った型として扱うソフトウェア上の不具合で、意図しない動作や不正アクセスにつながる可能性がある。
- total value locked: ブロックチェーンのアプリケーションやプロトコルに預け入れられている資産の総額。