31 ثغرة أمنية في 15 من ميسّري مدفوعات x402: كل الأنظمة فشلت — بما في ذلك Coinbase

• التسوق المجاني (Free Shopping) — يُسلّم التاجر الخدمة بعد نجاح التحقق خارج السلسلة (off-chain)، لكن التسوية داخل السلسلة (on-chain) تفشل لاحقًا (أو يتم قبول توقيع غير صالح أو بقيمة صفرية). يحصل المشتري على المنتج دون دفع. تحقق الباحثون مباشرة من مسارين للتسوق المجاني وصنفوا 10 أخرى على أنها عالية الخطورة.
• سرقة الأصول (Asset Theft) — يحصل المهاجم على السيطرة على الأصول التي يحتفظ بها الميسّر، مثل خداع الميسّر للموافقة على تحويلات رموز عشوائية.
• حرمان الخدمة (Service Denial) — إعادة تشغيل الدفع، أو إعادة استخدام التوقيع، أو الحمولات الضارة تتسبب في تعطل الميسّر أو رفض المعاملات المشروعة.
• إساءة استخدام رسوم الغاز (Gas Abuse) — يُجبر المهاجمون الميسّر على دفع تكاليف نشر عقود ذكية باهظة الثمن أو عمليات متكررة داخل السلسلة، مما يحول التسوية إلى بئر تكاليف غير محدودة للراعي .

أخطر ثغرة: مسار ERC-6492

أخطر مسار هجوم تضمن ERC-6492، وهو معيار توقيع إيثيريوم للمحافظ الذكية التي قد لا تكون قد نُشرت بعد. وجد الباحثون أن البيانات الوصفية الضارة يمكن أن تجعل الميسّر يمول ويُرسل معاملة موافقة على رمز عشوائي بدلاً من الدفع المتوقع . لم يقم الباحثون بتحويل أموال الميسّر بأنفسهم لكنهم صنفوا الثغرة على أنها مسار مباشر لسرقة الأصول، لأن المهاجم يمكنه استخدام تلك السلطة للموافقة على تحويل الأصول التي يسيطر عليها الميسّر.

مخاطر جانب التاجر: أدوات الخادم المرجعية من Coinbase

جميع أدوات الخادم المرجعية السبع الرسمية من Coinbase التي فحصها الباحثون تفتقر إلى آليات واضحة لعكس الإجراءات المتخذة بعد التحقق الناجح . في إصدارات أداة Flask من Coinbase حتى الإصدار 0.2.1، يمكن تحرير الموارد المحمية بعد التحقق بغض النظر عن نجاح التسوية اللاحقة. هذا يعني أن التاجر الذي يستخدم هذه الأدوات قد يسلم خدمة غير قابلة للعكس — مثل استجابة API أو سلعة رقمية — بينما لا يتم الدفع أبدًا داخل السلسلة.

تركيز السوق ورسوم الشبكة

حللت الدراسة أكثر من 119 مليون معاملة x402 على Base و Solana بين 1 أكتوبر و 26 ديسمبر 2025 . أنفقت الميسّرات مجتمعة ما يقرب من 202,000 دولار على رسوم الشبكة، بما في ذلك حوالي 5,800 دولار على معاملات Base التي تراجعت أو فشلت في النهاية — مما يوضح عدم التماثل الاقتصادي حيث يتحمل الميسّر تكاليف البلوكشين حتى عندما لا يكتمل الدفع . كما حدد القياس داخل السلسلة تركيزًا كبيرًا للميسّرين، مع هيمنة ميسّر Base التابع لـ Coinbase على النظام البيئي من حيث حجم المعاملات خلال فترة الدراسة.

حالة المعالجة (حتى فبراير 2026)

قام الباحثون بالإفصاح المسؤول عن جميع النتائج للأطراف المتضررة . اعترفت Coinbase و PayAI و Mogami بالمشكلات واعتمدت إجراءات تخفيفية، بما في ذلك تصحيح 6 ثغرات في فبراير 2026 . تشير الورقة إلى أن Coinbase أجرت تغييرات محددة استجابة للإفصاح. لم يتم تحديد حالة معالجة الميسّرين الآخرين في المصادر المتاحة.

توصيات الباحثين

• للميسّرين: فرض جميع القواعد الأمنية الثمانية التي تغطي صحة التفويض وسلامة التنفيذ؛ لا تقبل أبدًا فشل التسوية كسبب لتسليم الخدمة؛ تنفيذ إلغاء ازدواجية التوقيع (تتبع nonce)؛ رفض المدفوعات ذات القيمة الصفرية؛ إنشاء إيصالات موقعة تشفيريًا تربط txHash الدفع → نقطة نهاية الخدمة → تجزئة الاستجابة لحل النزاعات .
• للتجار: لا تقم أبدًا بتسليم خدمات غير قابلة للعكس فور التحقق خارج السلسلة وحده؛ اطلب تأكيد التسوية داخل السلسلة قبل التسليم؛ قم بتدقيق أي مجموعة أدوات خادم مرجعية لضمان أن فشل التسوية يؤدي إلى استجابة 402، وليس تسليم الخدمة .
• للنظام البيئي: اعتماد ثوابت أمنية موحدة، واختبار الصندوق الأسود الآلي (تقدم الورقة أداة X402SCOPE لهذا الغرض)، وطبقات مسؤولية مشتركة لتقليل نصف قطر الانفجار لأي ثغرة في ميسّر واحد .