| Wat je moet weten |
|---|
| 1Hexens vond een type-confusion fout in de Aptos Move virtual machine. |
| 2De slaagkans lag boven de 90 procent, 17 tot 18 van de 20 pogingen raakten doel. |
| 3Grego AI schatte 250 miljoen dollar aan vastgezette waarde op Aptos in gevaar. |
| 4De melding kwam op 25 februari, de patch stond binnen uren live. |
Marktcontext per 11.10 CET. APT noteert 0,62 dollar, ongeveer 3 procent onder de 24-uurs high van 0,64 dollar. Het 24-uurs volume blijft dun, rond 33 miljoen dollar. De token staat op weekbasis 7 procent hoger, ondanks het nieuws. Met een marktwaarde van circa 520 miljoen dollar is de systeemschade van 70 miljard dollar ongeveer 135 keer zo groot. Bron, CoinGecko en Hexens.
Wat maakte het Aptos lek zo gevaarlijk
Move slaat rechten rechtstreeks op de keten op. Het recht om een stablecoin te minten of een brug te besturen leeft als een on-chain resource. Dat is een stukje data met bevoegdheid, opgeslagen op de keten. Move stamt uit het gestrande Diem-project van Facebook. Hexens vond een stale-cache fout die leidde tot type-confusion, waarbij de keten het ene type resource aanziet voor het andere. Zo kan een aanvaller schrijven in opslag die bij andere contracten hoort. Precies die scheiding moest Move juist bewaken. Dat ging bijna mis.
Hoe 3.000 dollar bijna 70 miljard raakte
De opzet was klein. Hexens huurde een server van 3.000 dollar en bootste ruim 30 validators na. Dat is ongeveer een derde van het netwerk. De aanval vroeg geen insiderrechten en geen speciale toegang. Het team draaide het pad zo’n 20 keer, met 17 tot 18 rake pogingen. Mislukte pogingen legden de keten niet plat, dus een aanvaller kreeg simpelweg een nieuwe kans. De reconstructie van CoinDesk legt het pad stap voor stap uit.
Hier zit het echte verhaal. Aptos heeft nu een marktwaarde van ongeveer 520 miljoen dollar. De geschatte systeemschade van 70 miljard dollar is daarmee ruwweg 135 keer die hele waarde. Toch beweegt de koers amper. Dat is opvallend. APT staat vandaag 1 procent lager en op de week 7 procent hoger. De markt rekent dus vrijwel geen premie voor dit soort uitvoeringsrisico.
Waarom bruggen en stablecoins het echte doelwit waren
Een fout op het niveau van de keten zelf stopt zelden bij een enkel protocol, ze straalt uit naar alles. De schade blijft niet lokaal. Hexens kon bevoegdheden overnemen die bovenaan cross-chain systemen zitten. Denk aan brugrechten, signer-rollen en master-minter functies voor stablecoins. Grego AI wees op LayerZero, Wormhole en de CCTP van Circle, het overboeksysteem voor USDC. Het team nam een master-minter rol over, maar muntte zelf geen tokens. De schatting van 70 miljard dollar leunt op het minten van USDC en het rondpompen via bruggen. Circle bevriest tegoeden overigens niet zonder juridische grond.
Wat Aptos zelf zegt over de fout
Aptos bevestigt de melding en het snelle herstel. Een woordvoerder zegt dat de fix binnen uren op mainnet stond. Volgens Aptos raakte niemand geld kwijt en was de fout in de praktijk nauwelijks te misbruiken. Het team herstelde de fout snel. Hexens houdt vol dat het geen inhoudelijke weerlegging kreeg. Mudit Gupta, CTO van Polygon, controleerde de proof-of-concept en noemde de aanval geloofwaardig. Een publieke patch verscheen op 27 februari.
Wat dit betekent voor de Nederlandse belegger
Bijna geen Nederlandse belegger houdt APT rechtstreeks aan. Toch raakt dit verhaal je wel. Zelfs wie alleen Bitcoin aanhoudt, leunt op bruggen en stablecoins eromheen. Onder MiCA, de Europese cryptowet, moeten aanbieders klanttegoeden veilig bewaren. Zij moeten ook hun ICT-risico aantoonbaar beheersen. De AFM houdt in Nederland toezicht op die vergunningen. Een beurs als Bitvavo valt onder dat regime. We schreven eerder hoe het FCA-regime MiCA onder druk zet.
Een rekenvoorbeeld maakt het concreet. Stel, je houdt voor 1.000 euro aan USDC op een beurs. Bij een geslaagde ketenaanval bepaalt niet jouw saldo de schade, maar de reactie van de uitgever en de beurs. Snel bevriezen kan verlies beperken, stilzitten vergroot het. Dit voorbeeld is illustratief, geen advies. De les is simpel, spreiding en bewaarkeuze doen ertoe. Bitvavo bouwt intussen aan snellere institutionele eurohandel.
Wat de zaak leert over ketenrisico
Geen geld ging verloren, maar de marge was dun. De verdediging hing aan patches, bruglimieten en het ingrijpen van uitgevers. Die vangnetten zijn geen bijzaak, ze vormen de grens tussen een bug en een marktbrede ramp. Eerder dit jaar zakte Zcash 38 procent na een verborgen fout in de privacypool. Vorig jaar verdween 1,5 miljard dollar bij de Bybit-hack. De volgende test komt, de vraag is alleen wanneer.
| Wat je nu kunt doen |
|---|
| 1Check waar je stablecoins en tegoeden staan. |
| 2Kies bewaarplekken die onder MiCA-toezicht vallen. |
| 3Spreid tegoeden over meerdere platforms. |
| 4Volg security-meldingen van bruggen en uitgevers. |
| 5Reken niet op een snelle bevriezing bij een hack. |
Dit artikel is informatief en geen financieel advies. Beleggen in crypto-activa brengt risico op verlies met zich mee. Doe eigen onderzoek naar de voorwaarden, de fiscale gevolgen en de eigen risicobereidheid. Raadpleeg bij twijfel een onafhankelijk adviseur voordat je kapitaal inzet.
