Em 4 de julho de 2026, a empresa de segurança Hexens divulgou que um único bug de confusão de tipos na máquina virtual Aptos Move colocou cerca de $70 bilhões de valor potencialmente ao alcance de um invasor. Os pesquisadores reproduziram o exploit em um ambiente simulado da Aptos rodando em um servidor de $3.000, com uma taxa de sucesso de 90%, e reportaram à equipe Aptos no final de fevereiro. O erro foi corrigido antes do uso em mainnet e nenhum fundo foi perdido.
O valor levantou dúvidas para quem possui ativos baseados em Move. Aptos e Sui usam a mesma linguagem criada a partir do projeto Diem da Meta, e Movement e Sei fazem parte do mesmo ecossistema. Se uma falha pode expor $70 bilhões na Aptos, todo o setor Move estaria em risco?
Veja o que foi a falha, até onde chegou, como as duas principais blockchains Move se diferenciam em perfis de risco, e o que uma vulnerabilidade corrigida antes de ser explorada realmente muda para quem possui APT ou SUI.
O que foi a falha de $70 bilhões?
A Hexens descreveu o problema como um bug de cache obsoleto que levou a uma vulnerabilidade de confusão de tipos, permitindo que a máquina virtual fosse enganada a tratar um recurso de blockchain como outro. Em uma linguagem baseada em recursos que representam propriedade real e permissões, confundir tipos pode permitir que um invasor forje autoridade não concedida.
O valor de $70 bilhões refere-se a uma estimativa de risco sistêmico, não a um valor em um único contrato. Considera tudo que um invasor poderia acessar abusando de capacidades forjadas, incluindo valores de pontes, sistemas de mensagens cross-chain, fluxos de stablecoin e ativos custodiados por plataformas centralizadas conectadas à cadeia. Pesquisadores notaram que capacidades em nível de protocolo, mantidas por infraestruturas como LayerZero, Wormhole e sistema cross-chain do USDC, estavam dentro do escopo.
Dois fatores impediram um desastre: o bug foi relatado de forma privada e corrigido meses antes do público saber, e o exploit só foi demonstrado em laboratório, nunca na mainnet. A relevância está no custo de entrada: encontrar um bug crítico não exigiu orçamento estatal, apenas um servidor intermediário e conhecimento da Move VM.
O que é Move e quais blockchains o utilizam
Move é uma linguagem de programação orientada a recursos, criada pela equipe de engenharia do projeto Diem (stablecoin da Meta). O conceito central: ativos digitais como recursos, que não podem ser copiados ou apagados silenciosamente, apenas movidos entre proprietários. Isso elimina uma classe de bugs que já causou grandes perdas em outras plataformas de contratos inteligentes, razão do crescente uso.
Move é mais um modelo compartilhado do que uma blockchain única. Aptos utiliza um modelo de dados baseado em contas com motor de execução paralela chamado Block-STM. Sui reescreveu o modelo para focar em objetos individuais, rodando seu próprio dialeto, Sui Move, em VM separada. Movement (MOVE) busca compatibilidade com Ethereum, enquanto Sei possui design paralelo próprio.
A diferença importante — ofuscada pelo título dos $70 bilhões — é entre a linguagem Move e a implementação de cada equipe. A linguagem define as regras; a máquina virtual as implementa, incluindo o verificador de bytecode e o cache (onde estava este bug). Uma falha no código de uma equipe não indica falha no design geral.
O bug afetou Sui ou só a VM da Aptos?
Esta é a distinção-chave: o bug ficou restrito à VM Move da Aptos, no caminho de cache criado pelos engenheiros da Aptos para acelerar o acesso aos recursos. Sui não compartilha esse código.
Sui roda Sui Move em VM separada, construída pela Mysten Labs, com modelo de propriedade centrado em objetos — diferente da abordagem baseada em contas da Aptos. As duas cadeias herdaram a filosofia, mas divergiram tanto na execução que um bug de cache em uma não afeta a outra. Sui, Movement e Sei não usam o código afetado.
Importante notar: a falha foi de implementação, não do sistema de tipos do Move. As regras de recursos da linguagem permaneceram. O problema foi na forma que uma VM armazenou e recarregou dados — erro possível em qualquer ambiente de alta performance. Ou seja: o ecossistema Move não é uniformemente frágil; cada cadeia carrega o risco de sua própria engenharia, auditado conforme a disciplina de cada equipe.
Aptos vs Sui: Dois Perfis de Risco
Ambas nasceram do time Diem, mas se tornaram redes diferentes em pontos fortes e riscos. Aptos destaca-se em stablecoins e alcance institucional; Sui construiu uma economia on-chain mais profunda. Veja o comparativo de julho de 2026:
| Dimensão | Aptos (APT) | Sui (SUI) |
|---|---|---|
| Lançamento e equipe | Mainnet 2022, Aptos Labs (ex-Meta Diem) | Mainnet 2023, Mysten Labs (ex-Meta Diem) |
| Modelo de dados | Baseado em contas | Centrado em objetos |
| Dialeto Move | Core Move | Sui Move (VM própria) |
| Consenso | Aptos BFT c/ Block-STM | Mysticeti, finalização subsegundo |
| Market cap de stablecoin | Lidera entre Move, cerca de $1,6 bi | Cerca de $700 milhões |
| DeFi TVL | Até $1 bilhão no pico | Maior, próximo a $2,6 bilhões |
| Exposição à falha de julho | Corrigida, nenhum fundo perdido | Não afetada |
Nenhuma é absolutamente mais segura. Aptos passou por um evento ao vivo e reagiu rápido com patch privado e sem prejuízo de fundos, o que pode indicar maturidade. Sui evitou esse bug por usar VM diferente, não por Move ser infalível. Seu risco está no código menos testado, e o maior TVL DeFi concentra mais valor caso haja falha.
O que significa a falha para quem possui APT ou SUI?
Na prática, a conclusão é mais tranquila do que o título sugere. Um bug crítico foi encontrado por pesquisadores de segurança, relatado e corrigido antes que qualquer valor fosse perdido — o processo funcionou. O verdadeiro risco estaria em sistemas onde bugs são descobertos por invasores primeiro.
O episódio mostra que essas são cadeias jovens, de alta performance, onde a superfície de ataque ainda está sendo mapeada. Um servidor de $3.000 achou um risco de $70 bilhões, indicando que novos bugs são possíveis para Aptos, Sui e outras do ecossistema. Isso não significa evitar Move, mas calibrar posições entendendo que o risco estrutural é maior do que em blockchains antigos como o Bitcoin, e priorizar projetos com bug bounties ativos e auditorias públicas. Saiba mais sobre como esses exploits acontecem em nossa análise sobre hacks DeFi e explorações de bridges.
Para traders, o impacto imediato foi limitado: nada foi roubado, não houve liquidações forçadas ou insolvência protocolar. A divulgação é um ponto de reputação, não um evento financeiro. O preço de APT resistiu à notícia sem grandes impactos.
Perguntas Frequentes
Sui foi afetada pela falha da Aptos?
Não. O bug de confusão de tipos estava na VM Move da Aptos, código que Sui não utiliza. Sui roda seu próprio Sui Move em VM separada, desenvolvida pela Mysten Labs, então essa vulnerabilidade não atingiu a rede Sui.
O número de $70 bilhões significa que esse valor poderia ser roubado?
Não diretamente. É uma estimativa de risco sistêmico do que poderia ser acessado por permissões forjadas, incluindo pontes, mensagens cross-chain e fluxos de stablecoin. Na prática, nada foi perdido, pois o bug foi corrigido antes de ser tornado público.
A linguagem Move é insegura?
A falha foi um erro de implementação no cache de runtime de uma equipe, não do sistema de tipos do Move. O modelo de recursos da linguagem permaneceu seguro. Move continua sendo uma das melhores abordagens para evitar bugs de duplicação de ativos, mas nenhuma linguagem protege contra falhas no software que a executa.
Devo vender meu APT ou SUI devido a isso?
Não há motivo relacionado ao exploit para isso. Nenhum fundo foi perdido e a vulnerabilidade foi fechada. O mais prudente é dimensionar posições em Move sabendo que essas redes são mais novas e que projetos com auditórias e bug bounties ativos são preferíveis.
Conclusão
O valor de $70 bilhões é real, mas descreve um risco evitado, não uma perda. Hexens encontrou um bug grave na VM da Aptos, que foi resolvido privadamente em fevereiro, sem que fundos na mainnet estivessem em perigo — mais uma vitória do que um fracasso de segurança. Sui, Movement e Sei não foram expostas porque bugs de runtime em um código não afetam as VMs separadas de cada cadeia. Aguarde por post-mortems completos da Aptos e novas auditorias das outras Move chains, pois uma lição clara é que mesmo servidores modestos ainda podem revelar riscos em blockchains jovens. Dimensione suas posições considerando essa realidade e veja programas de bug bounty como parte fundamental do ecossistema.
Este artigo é apenas para fins informativos e não constitui aconselhamento financeiro ou de investimento. O comércio de criptomoedas envolve riscos substanciais. Sempre faça sua própria pesquisa antes de tomar decisões de negociação.
