Čtyři třídy útoků

Výzkumníci odvodili z porušení pravidel čtyři útočné vektory :

• Free Shopping (nákup zdarma) – Obchodník poskytne službu poté, co off-chain ověření proběhne úspěšně, ale on-chain vypořádání následně selže (nebo je přijat neplatný podpis s nulovou částkou). Kupující získá produkt, aniž by zaplatil. Výzkumníci přímo potvrdili dvě cesty k nákupu zdarma a dalších 10 označili jako vysoce rizikové.
• Asset Theft (krádež aktiv) – Útočník získá kontrolu nad aktivy drženými facilitátorem, například tím, že přiměje facilitátora schválit libovolné převody tokenů.
• Service Denial (odepření služby) – Opakované použití plateb, znovupoužití podpisů nebo škodlivé payloady způsobí, že facilitátor havaruje nebo odmítne legitimní transakce.
• Gas Abuse (zneužití poplatků) – Útočníci donutí facilitátora zaplatit za nákladné nasazení chytrých kontraktů nebo opakované on-chain operace, čímž se vypořádání stane neomezeným zdrojem nákladů pro sponzora .

Nejzávažnější chyba: ERC-6492 cesta

Nejzávažnější útočná cesta zahrnovala ERC-6492, Ethereum standard podpisů pro peněženky s chytrými kontrakty, které ještě nemusí být nasazeny. Výzkumníci zjistili, že škodlivá metadata mohla způsobit, že facilitátor financuje a odešle transakci schvalující libovolný token namísto očekávané platby . Výzkumníci sami prostředky facilitátora nepřesunuli, ale chybu klasifikovali jako přímou cestu ke krádeži aktiv, protože útočník by mohl toto oprávnění použít ke schválení převodů aktiv kontrolovaných facilitátorem.

Riziko na straně obchodníka: Coinbase referenční sady

Všech sedm oficiálních referenčních sad Coinbase zkoumaných výzkumníky postrádalo explicitní mechanismy pro vrácení akcí provedených po úspěšném ověření . Ve verzích Flask sady Coinbase až do 0.2.1 mohly být chráněné zdroje uvolněny po ověření bez ohledu na to, zda následné vypořádání uspělo. To znamená, že obchodník používající tyto sady mohl předat nevratnou službu – např. API odpověď nebo digitální zboží – zatímco platba nebyla nikdy dokončena na řetězci.

Koncentrace trhu a síťové poplatky

Studie analyzovala přes 119 milionů x402 transakcí na Base a Solana mezi 1. říjnem a 26. prosincem 2025 . Facilitátoři společně utratili přibližně 202 000 USD na síťových poplatcích, včetně zhruba 5 800 USD za transakce na Base, které byly nakonec vráceny nebo selhaly – což demonstruje ekonomickou asymetrii, kde facilitátor nese blockchainové náklady, i když platba nikdy není dokončena . On-chain měření dále kvantifikovalo významnou centralizaci facilitátorů, přičemž facilitátor Coinbase na Base dominoval ekosystému v objemu transakcí během studijního období.

Stav nápravy (k únoru 2026)

Výzkumníci zodpovědně zveřejnili všechna zjištění dotčeným stranám . Coinbase, PayAI a Mogami potvrdily problémy a přijaly opatření, včetně opravy 6 zranitelností v únoru 2026 . Dokument uvádí, že Coinbase provedla konkrétní změny v reakci na zveřejnění. Stav nápravy u ostatních facilitátorů nebyl v dostupných zdrojích specifikován.

Doporučení výzkumníků

• Pro facilitátory: Prosazovat všech osm bezpečnostních pravidel pokrývajících správnost autorizace a bezpečnost provádění; nikdy nepřijímat selhání vypořádání jako důvod k poskytnutí služby; implementovat deduplikaci podpisů (sledování nonce); odmítat platby s nulovou částkou; generovat kryptograficky podepsané účtenky spojující txHash platby → koncový bod služby → hash odpovědi pro řešení sporů .
• Pro obchodníky: Nikdy neuvolňovat nevratné služby pouze na základě off-chain ověření; vyžadovat potvrzení on-chain vypořádání před doručením; auditovat referenční sady, aby selhání vypořádání spouštělo odpověď 402, nikoli doručení služby .
• Pro ekosystém: Přijmout standardizované bezpečnostní invarianty, automatizované black-box testování (dokument představuje X402SCOPE pro tento účel) a sdílené vrstvy odpovědnosti ke snížení dosahu jakékoli jediné chyby facilitátora .

Čtyři třídy útoků

Výzkumníci odvodili z porušení pravidel čtyři útočné vektory :

• Free Shopping (nákup zdarma) – Obchodník poskytne službu poté, co off-chain ověření proběhne úspěšně, ale on-chain vypořádání následně selže (nebo je přijat neplatný podpis s nulovou částkou). Kupující získá produkt, aniž by zaplatil. Výzkumníci přímo potvrdili dvě cesty k nákupu zdarma a dalších 10 označili jako vysoce rizikové.
• Asset Theft (krádež aktiv) – Útočník získá kontrolu nad aktivy drženými facilitátorem, například tím, že přiměje facilitátora schválit libovolné převody tokenů.
• Service Denial (odepření služby) – Opakované použití plateb, znovupoužití podpisů nebo škodlivé payloady způsobí, že facilitátor havaruje nebo odmítne legitimní transakce.
• Gas Abuse (zneužití poplatků) – Útočníci donutí facilitátora zaplatit za nákladné nasazení chytrých kontraktů nebo opakované on-chain operace, čímž se vypořádání stane neomezeným zdrojem nákladů pro sponzora .

Nejzávažnější chyba: ERC-6492 cesta

Nejzávažnější útočná cesta zahrnovala ERC-6492, Ethereum standard podpisů pro peněženky s chytrými kontrakty, které ještě nemusí být nasazeny. Výzkumníci zjistili, že škodlivá metadata mohla způsobit, že facilitátor financuje a odešle transakci schvalující libovolný token namísto očekávané platby . Výzkumníci sami prostředky facilitátora nepřesunuli, ale chybu klasifikovali jako přímou cestu ke krádeži aktiv, protože útočník by mohl toto oprávnění použít ke schválení převodů aktiv kontrolovaných facilitátorem.

Riziko na straně obchodníka: Coinbase referenční sady

Všech sedm oficiálních referenčních sad Coinbase zkoumaných výzkumníky postrádalo explicitní mechanismy pro vrácení akcí provedených po úspěšném ověření . Ve verzích Flask sady Coinbase až do 0.2.1 mohly být chráněné zdroje uvolněny po ověření bez ohledu na to, zda následné vypořádání uspělo. To znamená, že obchodník používající tyto sady mohl předat nevratnou službu – např. API odpověď nebo digitální zboží – zatímco platba nebyla nikdy dokončena na řetězci.

Koncentrace trhu a síťové poplatky

Studie analyzovala přes 119 milionů x402 transakcí na Base a Solana mezi 1. říjnem a 26. prosincem 2025 . Facilitátoři společně utratili přibližně 202 000 USD na síťových poplatcích, včetně zhruba 5 800 USD za transakce na Base, které byly nakonec vráceny nebo selhaly – což demonstruje ekonomickou asymetrii, kde facilitátor nese blockchainové náklady, i když platba nikdy není dokončena . On-chain měření dále kvantifikovalo významnou centralizaci facilitátorů, přičemž facilitátor Coinbase na Base dominoval ekosystému v objemu transakcí během studijního období.

Stav nápravy (k únoru 2026)

Výzkumníci zodpovědně zveřejnili všechna zjištění dotčeným stranám . Coinbase, PayAI a Mogami potvrdily problémy a přijaly opatření, včetně opravy 6 zranitelností v únoru 2026 . Dokument uvádí, že Coinbase provedla konkrétní změny v reakci na zveřejnění. Stav nápravy u ostatních facilitátorů nebyl v dostupných zdrojích specifikován.

Doporučení výzkumníků

• Pro facilitátory: Prosazovat všech osm bezpečnostních pravidel pokrývajících správnost autorizace a bezpečnost provádění; nikdy nepřijímat selhání vypořádání jako důvod k poskytnutí služby; implementovat deduplikaci podpisů (sledování nonce); odmítat platby s nulovou částkou; generovat kryptograficky podepsané účtenky spojující txHash platby → koncový bod služby → hash odpovědi pro řešení sporů .
• Pro obchodníky: Nikdy neuvolňovat nevratné služby pouze na základě off-chain ověření; vyžadovat potvrzení on-chain vypořádání před doručením; auditovat referenční sady, aby selhání vypořádání spouštělo odpověď 402, nikoli doručení služby .
• Pro ekosystém: Přijmout standardizované bezpečnostní invarianty, automatizované black-box testování (dokument představuje X402SCOPE pro tento účel) a sdílené vrstvy odpovědnosti ke snížení dosahu jakékoli jediné chyby facilitátora .