Vulnerabilidad de la Red Aptos Expone $70 Mil millones a un Ataque de $3,000

• La falla permitió el control sobre roles que autorizan la emisión de stablecoins como USDC.
• Los investigadores encontraron que entre 17 y 18 de cada 20 intentos de ataque fueron exitosos.

Una falla crítica en la red Aptos fue corregida el pasado febrero, después de que la firma de seguridad Hexens demostrara que esta vulnerabilidad podría exponer hasta $70 mil millones en fondos dentro del ecosistema Aptos a un ataque que costaría solo $3,000, la cantidad que los investigadores mencionaron para alquilar un servidor con la potencia de una computadora de escritorio. La solución se aplicó antes de que la falla pudiera ser explotada, por lo que ningún usuario perdió dinero.

Aunque el descubrimiento y su corrección ocurrieron en febrero, los detalles técnicos completos y la prueba de concepto (PoC) de Hexens solo se hicieron públicos esta semana cuando Hexens y el equipo de Aptos los publicaron.

Hexens declaró que en cada 20 intentos de simular el ataque, entre 17 y 18 terminaron con éxito en un entorno de prueba con más de 30 nodos (las computadoras que verifican y confirman operaciones dentro de la red). El equipo de Aptos confirmó el 4 de julio a través de un medio que el descubrimiento fue reportado el 25 de febrero a través de un programa de recompensas por errores, y la corrección fue desarrollada, probada y desplegada en la red principal posteriormente.

El error se originó en la máquina virtual Move (MoveVM), el programa que ejecuta el código de los contratos inteligentes dentro de Aptos para llevar a cabo operaciones en la red, diseñado bajo el lenguaje de programación Move. Este programa, a su vez, organiza los datos de cada contrato en estructuras, la forma en que MoveVM almacena, por ejemplo, el saldo de una cuenta o los permisos administrativos de un protocolo.

El sistema mantiene un número de identificación para cada una de estas estructuras en memoria temporal, para evitar repetir el mismo proceso en cada operación. El problema surgió cuando el sistema vació parte de esa memoria para liberar espacio, pero no toda: el número que identifica una estructura podría permanecer erróneamente asociado con los datos de otra completamente diferente. Esto se conoce como confusión de tipos, un error en el que el programa termina tratando la información de una cuenta como si perteneciera a otra.

Con este error, como lo describió Hexens en su informe técnico publicado el 6 de julio, un atacante podría asumir roles de administrador maestro, la función que autoriza la emisión de una stablecoin, o capacidades de firma que controlan el manejo de fondos dentro de un contrato. Los investigadores afirmaron haber tomado el control de un rol de administrador maestro y haber llegado al paso previo a autorizar una emisión, sin ejecutarla.

El equipo de Hexens también señaló que la falla alcanzó las rutas que conectan Aptos con puentes entre redes, como los operados por Wormhole y LayerZero, y con el protocolo utilizado por Circle para mover su stablecoin USDC entre diferentes redes, conocido por su acrónimo en inglés CCTP (Cross-Chain Transfer Protocol).

Según Hexens, un atacante también podría forzar un vaciado completo de esas memorias temporales (caches) después de un intento, ya sea exitoso o fallido, para no dejar rastro de la manipulación. Esto explica en parte por qué la firma insiste en que los intentos fallidos no detuvieron la red ni expusieron el ataque en curso.

Además, los investigadores de Hexens compararon el problema con un escenario equivalente en una red basada en Ethereum, donde el código bajo el control de un atacante podría escribir directamente sobre el espacio de almacenamiento de otro contrato, eludiendo las garantías del sistema de tipos que Move fue diseñado específicamente para mantener.

Hexens reportó la falla siguiendo la práctica de divulgación responsable, lo que significa que notificaron a Aptos de manera privada antes de publicar cualquier detalle públicamente. También se activó una sala de emergencias coordinada por SEAL911, una red de respuesta voluntaria que varios proyectos en el sector utilizan para coordinar reacciones a incidentes de seguridad graves.

El equipo de Aptos, por su parte, calificó la explotabilidad práctica de la falla como "extremadamente baja". Esta evaluación contrasta con la tasa de éxito de entre 17 y 18 de cada 20 intentos que Hexens afirmó haber logrado en sus simulaciones, y también con revisiones independientes de dos terceros: Mudit Gupta, CTO de Polygon, declaró que la prueba de concepto funcionó como se describió, mientras que la firma Grego AI estimó el riesgo directo para los activos nativos de Aptos en $250 millones, una cifra significativamente menor que los $70 mil millones que Hexens estimó para el impacto en el ecosistema más amplio.

Finalmente, Charles Guillemet, CTO de Ledger, indicó que tales hallazgos, con trazas completas de la máquina virtual y dos pruebas de concepto funcionales, anteriormente requerían meses de trabajo de un especialista y hoy, con herramientas de inteligencia artificial, son más rápidos y baratos de producir. Según su lectura, si los equipos de seguridad pueden ahora revisar cada línea de código y construir un ataque funcional a bajo costo, es razonable suponer que grupos de atacantes, incluidos aquellos vinculados a Corea del Norte como Lazarus, tienen capacidades similares.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.