Aptos dicht kritiek beveiligingslek dat miljarden aan crypto had kunnen bedreigen

Kritiek beveiligingslek in Aptos op tijd ontdekt

Hoewel het incident zonder schade afliep, laat het volgens de onderzoekers zien hoe kwetsbaar de infrastructuur achter moderne blockchains kan zijn wanneer een fundamenteel onderdeel van het netwerk faalt.

Onderzoekers ontdekten fout in de kern van Aptos

De kwetsbaarheid bevond zich in de Move Virtual Machine, het onderdeel dat slimme contracten uitvoert op de Aptos-blockchain. Slimme contracten zijn programma’s die automatisch afspraken uitvoeren zodra aan vooraf bepaalde voorwaarden is voldaan.

Door een fout in de software konden verschillende soorten digitale gegevens onder bepaalde omstandigheden met elkaar worden verward. Daardoor zou een aanvaller rechten kunnen verkrijgen die normaal uitsluitend voor beheerders of protocollen zijn bedoeld.

Volgens Hexens ging het niet om een gewone softwarebug, maar om een fout die de beveiligingsprincipes van de programmeertaal Move kon omzeilen. Juist die taal is ontwikkeld om dit soort risico’s te voorkomen.

Test laat zien hoe groot de impact had kunnen zijn

Om de kwetsbaarheid te onderzoeken bouwden de onderzoekers een testomgeving die vrijwel identiek werkte aan het echte Aptos-netwerk. Voor die simulatie gebruikten zij een serveromgeving van ongeveer 3.000 dollar.

Tijdens ongeveer twintig tests slaagde de aanval in bijna negentig procent van de gevallen. Volgens Hexens zou een echte aanvaller zelfs minder middelen nodig hebben gehad, omdat daarvoor geen volledige testomgeving nodig is.

Aptos bestrijdt die conclusie. Het project stelt dat de kans op misbruik in de praktijk zeer klein was. Volgens het team waren meerdere specifieke omstandigheden nodig voordat de aanval zou kunnen slagen.

Waarom experts spraken over een risico van 70 miljard dollar

De directe waarde die op Aptos zelf gevaar liep bedroeg volgens de onderzoekers enkele miljarden dollars. Toch lag de grootste zorg buiten het netwerk zelf.

Veel blockchainprojecten zijn tegenwoordig met elkaar verbonden via zogenoemde bridges. Een bridge maakt het mogelijk om digitale activa tussen verschillende blockchains te verplaatsen. Daarnaast gebruiken stablecoins en andere protocollen vaak gedeelde infrastructuur om transacties tussen netwerken uit te voeren.

Wanneer een aanvaller controle krijgt over zulke systemen, kan de schade zich snel verspreiden naar andere blockchains.

Hexens schatte daarom dat uiteindelijk voor ongeveer 70 miljard dollar aan verbonden crypto-infrastructuur geraakt had kunnen worden. Dat is een theoretisch maximum waarbij ook cross-chain protocollen, stablecoins en gecentraliseerde cryptobeurzen zijn meegenomen.

De onderzoekers benadrukken dat dit geen verwachting is van de daadwerkelijke schade, maar een inschatting van het totale risicogebied als meerdere beveiligingslagen zouden falen.

Aptos reageerde binnen enkele uren

Hexens meldde de kwetsbaarheid eind februari via het bug bounty-programma van Aptos. Volgens Aptos onderzocht het ontwikkelteam het probleem op dat moment al intern. Kort daarna werd een oplossing ontwikkeld, getest en uitgerold op het mainnet.

Daarnaast schakelden de onderzoekers beveiligingscollectief SEAL911 in. Deze groep helpt projecten bij ernstige beveiligingsincidenten en waarschuwde direct meerdere protocollen die mogelijk afhankelijk waren van dezelfde infrastructuur.

Volgens Aptos zijn geen gebruikers, ontwikkelaars of protocollen geraakt door de kwetsbaarheid.

Incident onderstreept belang van onafhankelijke beveiligingsonderzoekers

Het voorval laat zien dat de veiligheid van een blockchain niet alleen afhangt van de code van afzonderlijke projecten, maar ook van de technologie waarop het hele netwerk draait. Een fout in de basislaag kan gevolgen hebben voor stablecoins, DeFi-platformen, bridges en zelfs gecentraliseerde cryptobeurzen.

Dat de kwetsbaarheid op tijd werd ontdekt, voorkwam mogelijk een incident dat veel groter had kunnen uitpakken dan eerdere bekende hacks binnen de cryptosector.

Conclusie

Het Aptos beveiligingslek is een goed voorbeeld van hoe belangrijk beveiligingsonderzoek en snelle software-updates zijn voor de cryptomarkt. Dankzij de snelle reactie van Aptos en de melding van Hexens bleef het bij een theoretisch scenario. Tegelijkertijd benadrukt deze gebeurtenis dat ook moderne blockchains voortdurend getest en verbeterd moeten worden om grote risico’s te voorkomen.

Veelgestelde vragen

Wat was het Aptos beveiligingslek?

Het ging om een kwetsbaarheid in de Move Virtual Machine, de software die slimme contracten op Aptos uitvoert. Daardoor konden aanvallers in theorie belangrijke beheerdersrechten verkrijgen.

Is er crypto gestolen door deze kwetsbaarheid?

Nee. Aptos bracht de beveiligingsupdate uit voordat iemand misbruik kon maken van de fout. Volgens het project zijn geen gebruikers of tegoeden getroffen.

Waarom werd gesproken over een risico van 70 miljard dollar?

Dat bedrag is een theoretische schatting van de waarde van alle systemen die indirect geraakt hadden kunnen worden via bridges, stablecoins en andere verbonden blockchainnetwerken. De daadwerkelijke schade zou waarschijnlijk lager zijn geweest doordat meerdere partijen noodmaatregelen hadden kunnen nemen.