31 sikkerhedshuller i 15 x402-betalingstjenester: Hvert eneste system fejlede – også Coinbase

x402-betalingsprotokollen gør det muligt for maskinagenter at betale for digitale tjenester med kryptovaluta via en standard HTTP 402-respons. Men en ny akademisk undersøgelse viser, at infrastrukturen, der håndterer disse betalinger, er kritisk mangelfuld.

Forskere fra EPFL, Zhejiang University og en uafhængig forsker præsenterede den første systematiske sikkerhedsanalyse af x402-betalingstjenester på den 35. USENIX Security Symposium . De testede 15 store aktører – herunder Coinbase, Thirdweb, PayAI og Mogami – og fandt, at hver eneste tjeneste overtrådte mindst én af otte sikkerhedsregler, hvilket resulterede i 49 regelbrud og 31 forskellige sårbarheder . De berørte tjenester håndterer tilsammen 99 % af alle observerede x402-transaktioner og 98 % af betalingsvolumen og betjener over 60.000 sælgere og 360.000 købere .

Fire angrebstyper

Forskerne udledte fire angrebsvektorer fra regelbruddene :

• Gratis shopping – Sælgeren leverer en tjeneste efter en off-chain-verifikation er lykkedes, men den efterfølgende on-chain-afregning fejler (eller en ugyldig signatur/en nulbeløbssignatur accepteres). Køberen får produktet uden at betale. Forskerne validerede direkte to gratis-shopping-veje og klassificerede yderligere 10 som højrisiko.
• Tyveri af aktiver – En angriber får kontrol over aktiver, som betalingstjenesten besidder, for eksempel ved at narre tjenesten til at godkende overførsel af vilkårlige tokens.
• Tjenestenægtelse – Gentagelse af betalinger, genbrug af signaturer eller ondsindede data får tjenesten til at gå ned eller afvise legitime transaktioner.
• Gas-misbrug – Angribere tvinger tjenesten til at betale for dyre smart contract-implementeringer eller gentagne on-chain-operationer, hvilket gør afregning til en uoverskuelig omkostningsbyrde for sponsoren .

Den farligste fejl: ERC-6492-vejen

Den mest alvorlige angrebsvej involverede ERC-6492, en Ethereum-signaturstandard for smart-contract-tegnebøger, der endnu ikke er implementeret. Forskerne fandt, at ondsindede metadata kunne få en tjeneste til at finansiere og sende en vilkårlig token-godkendelsestransaktion i stedet for den forventede betaling . Forskerne flyttede ikke selv tjenesternes midler, men klassificerede fejlen som en direkte vej til tyveri af aktiver, fordi en angriber kunne bruge denne autoritet til at godkende overførsel af aktiver, som tjenesten kontrollerer.

Risiko for sælgere: Coinbases referenceserver-kits

Alle syv officielle Coinbase referenceserver-kits, som forskerne undersøgte, manglede eksplicitte mekanismer til at fortryde handlinger udført efter en vellykket verifikation . I versioner af Coinbases Flask-kit op til 0.2.1 kunne beskyttede ressourcer frigives efter verifikation, uanset om den efterfølgende afregning lykkedes eller ej. Det betyder, at en sælger, der bruger disse kits, kan udlevere en irreversibel tjeneste – f.eks. et API-svar eller et digitalt produkt – mens betalingen aldrig bliver endelig på blockchainen.

Markedskoncentration og netværksgebyrer

Studiet analyserede over 119 millioner x402-transaktioner på Base og Solana mellem 1. oktober og 26. december 2025 . Tjenesterne brugte tilsammen cirka 202.000 dollars på netværksgebyrer, herunder omkring 5.800 dollars på Base-transaktioner, der endte med at blive tilbagetrukket eller mislykkedes – hvilket viser den økonomiske asymmetri, hvor en tjeneste afholder blockchain-omkostninger, selv når en betaling aldrig gennemføres . On-chain-målingerne viste desuden betydelig centralisering af tjenesterne, hvor Coinbases Base-tjeneste dominerede økosystemet i transaktionsvolumen i studieperioden.

Status for udbedring (pr. februar 2026)

Forskerne anmeldte ansvarligt alle fund til de berørte parter . Coinbase, PayAI og Mogami anerkendte problemerne og indførte afhjælpende foranstaltninger, herunder at rette 6 sårbarheder i februar 2026 . Artiklen bemærker, at Coinbase foretog specifikke ændringer som svar på anmeldelsen. Status for udbedring hos de andre tjenester blev ikke specificeret i de tilgængelige kilder.

Forskningsholdets anbefalinger

• For betalingstjenester: Håndhæv alle otte sikkerhedsregler vedrørende autorisationskorrekthed og udførelsessikkerhed; accepter aldrig afregningsfejl som en begrundelse for at levere en tjeneste; implementer deduplikering af signaturer (nonce-sporing); afvis betalinger med nulbeløb; generer kryptografisk signerede kvitteringer, der forbinder betalingens txHash → serviceendpoint → responshash til tvistbilæggelse .
• For sælgere: Frigiv aldrig irreversible tjenester umiddelbart efter off-chain-verifikation alene; kræv on-chain-afregningsbekræftelse før levering; revider ethvert referenceserver-kit for at sikre, at afregningsfejl udløser en 402-respons, ikke servicelevering .
• For økosystemet: Vedtag standardiserede sikkerhedsinvarianter, automatiseret black-box-test (artiklen introducerer X402SCOPE til dette formål) og fælles ansvarlighedslag for at reducere skadesradius for en enkelt tjenestes fejl .