Tutkijat löysivät 31 tietoturva-aukkoa 15 x402-maksuvälittäjästä – jokainen järjestelmä epäonnistui
Tutkijat löysivät 31 aiemmin tuntematonta haavoittuvuutta 15 x402 maksuvälittäjästä – jokainen testattu järjestelmä rikkoi vähintään yhtä kahdeksasta turvallisuussäännöstä. Löydökset esiteltiin 35.
JulkaisijaMuokattu mallilla DeepSeek-V4-FlashKuvat luotu mallilla GPT Image 1.5
Tutkijat löysivät 31 aiemmin tuntematonta haavoittuvuutta 15 x402 maksuvälittäjästä – jokainen testattu järjestelmä rikkoi vähintään yhtä kahdeksasta turvallisuussäännöstä.
Löydökset esiteltiin 35. USENIX Security Symposiumissa.
Coinbase, PayAI ja Mogami ovat korjanneet kuusi haavoittuvuutta helmikuussa 2026.
What security vulnerabilities did researchers discover across 15 x402 payment facilitators (including Coinbase, Thirdweb, PayAI, and Mogami)Researchers found 31 security vulnerabilities across 15 x402 payment facilitators, with every tested system failing at least one security rule.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What security vulnerabilities did researchers discover across 15 x402 payment facilitators (including Coinbase, Thirdweb, PayAI, and Mogami). Article summary: ## Overview. Topic tags: general, academic, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
x402-maksuprotokolla mahdollistaa tekoälyagenttien ja muiden koneiden maksaa digitaalisista palveluista kryptovaluutoilla HTTP 402 -vastauksen kautta. Nyt julkaistu akateeminen tutkimus kuitenkin paljastaa, että maksuja käsittelevä infrastruktuuri on pahasti rikki.
EPFL:n, Zhejiangin yliopiston ja erään riippumattoman tutkijan ryhmä esitti ensimmäisen systemaattisen tietoturva-analyysinsa 35. USENIX Security Symposiumissa . He testasivat 15 merkittävää maksuvälittäjää – mukana Coinbase, Thirdweb, PayAI ja Mogami – ja havaitsivat, että jokainen testattu välittäjä rikkoi vähintään yhtä kahdeksasta turvallisuussäännöstä. Yhteensä 49 sääntörikkomusta johtivat 31 erilliseen haavoittuvuuteen. Nämä välittäjät käsittelevät , palvellen yli 60 000 myyjää ja 360 000 ostajaa .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Tutkijat löysivät 31 tietoturva-aukkoa 15 x402-maksuvälittäjästä – jokainen järjestelmä epäonnistui"?
Tutkijat löysivät 31 aiemmin tuntematonta haavoittuvuutta 15 x402 maksuvälittäjästä – jokainen testattu järjestelmä rikkoi vähintään yhtä kahdeksasta turvallisuussäännöstä.
What are the key points to validate first?
Tutkijat löysivät 31 aiemmin tuntematonta haavoittuvuutta 15 x402 maksuvälittäjästä – jokainen testattu järjestelmä rikkoi vähintään yhtä kahdeksasta turvallisuussäännöstä. Löydökset esiteltiin 35. USENIX Security Symposiumissa.
What should I do next in practice?
Coinbase, PayAI ja Mogami ovat korjanneet kuusi haavoittuvuutta helmikuussa 2026.
Tutkijat löysivät 31 tietoturva-aukkoa 15 x402-maksuvälittäjästä – jokainen järjestelmä epäonnistui
Tutkijat löysivät 31 aiemmin tuntematonta haavoittuvuutta 15 x402 maksuvälittäjästä – jokainen testattu järjestelmä rikkoi vähintään yhtä kahdeksasta turvallisuussäännöstä. Löydökset esiteltiin 35.
JulkaisijaMuokattu mallilla DeepSeek-V4-FlashKuvat luotu mallilla GPT Image 1.5
Tutkijat löysivät 31 aiemmin tuntematonta haavoittuvuutta 15 x402 maksuvälittäjästä – jokainen testattu järjestelmä rikkoi vähintään yhtä kahdeksasta turvallisuussäännöstä.
Löydökset esiteltiin 35. USENIX Security Symposiumissa.
Coinbase, PayAI ja Mogami ovat korjanneet kuusi haavoittuvuutta helmikuussa 2026.
What security vulnerabilities did researchers discover across 15 x402 payment facilitators (including Coinbase, Thirdweb, PayAI, and Mogami)Researchers found 31 security vulnerabilities across 15 x402 payment facilitators, with every tested system failing at least one security rule.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What security vulnerabilities did researchers discover across 15 x402 payment facilitators (including Coinbase, Thirdweb, PayAI, and Mogami). Article summary: ## Overview. Topic tags: general, academic, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
x402-maksuprotokolla mahdollistaa tekoälyagenttien ja muiden koneiden maksaa digitaalisista palveluista kryptovaluutoilla HTTP 402 -vastauksen kautta. Nyt julkaistu akateeminen tutkimus kuitenkin paljastaa, että maksuja käsittelevä infrastruktuuri on pahasti rikki.
EPFL:n, Zhejiangin yliopiston ja erään riippumattoman tutkijan ryhmä esitti ensimmäisen systemaattisen tietoturva-analyysinsa 35. USENIX Security Symposiumissa . He testasivat 15 merkittävää maksuvälittäjää – mukana Coinbase, Thirdweb, PayAI ja Mogami – ja havaitsivat, että jokainen testattu välittäjä rikkoi vähintään yhtä kahdeksasta turvallisuussäännöstä. Yhteensä 49 sääntörikkomusta johtivat 31 erilliseen haavoittuvuuteen. Nämä välittäjät käsittelevät , palvellen yli 60 000 myyjää ja 360 000 ostajaa .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Tutkijat löysivät 31 tietoturva-aukkoa 15 x402-maksuvälittäjästä – jokainen järjestelmä epäonnistui"?
Tutkijat löysivät 31 aiemmin tuntematonta haavoittuvuutta 15 x402 maksuvälittäjästä – jokainen testattu järjestelmä rikkoi vähintään yhtä kahdeksasta turvallisuussäännöstä.
What are the key points to validate first?
Tutkijat löysivät 31 aiemmin tuntematonta haavoittuvuutta 15 x402 maksuvälittäjästä – jokainen testattu järjestelmä rikkoi vähintään yhtä kahdeksasta turvallisuussäännöstä. Löydökset esiteltiin 35. USENIX Security Symposiumissa.
What should I do next in practice?
Coinbase, PayAI ja Mogami ovat korjanneet kuusi haavoittuvuutta helmikuussa 2026.
99 prosenttia kaikista havaituista x402-maksutapahtumista ja 98 prosenttia maksuvolyymista
Neljä hyökkäystyyppiä
Tutkijat tunnistivat neljä hyökkäysvektoria sääntörikkomusten perusteella :
Ilmainen ostos – Kauppias luovuttaa palvelun off-chain-vahvistuksen jälkeen, mutta on-chain-selvitys epäonnistuu myöhemmin (tai virheellinen/nolla-arvon allekirjoitus hyväksytään). Ostaja saa tuotteen maksamatta. Tutkijat vahvistivat kaksi ilmaisen ostamisen polkua suoraan ja luokittelivat 10 muuta korkean riskin tasolle.
Omaisuusvarastus – Hyökkääjä saa haltuunsa maksuvälittäjän hallinnoimia varoja esimerkiksi huijaamalla välittäjän hyväksymään mielivaltaisia token-siirtoja.
Palvelunestö – Maksun toisto, allekirjoituksen uudelleenkäyttö tai haitallinen hyötykuorma saavat välittäjän kaatumaan tai kieltäytymään laillisista tapahtumista.
Kaasun väärinkäyttö – Hyökkääjät pakottavat välittäjän maksamaan kalliista älysopimusten käyttöönotoista tai toistuvista lohkoketjuoperaatioista, mikä tekee selvityksestä rajattoman kustannusloukun sponsorille .
Vakavin aukko: ERC-6492-polku
Vakavin hyökkäyspolku liittyi ERC-6492:een, Ethereum-allekirjoitusstandardiin älysopimuslompakoille, joita ei välttämättä ole vielä otettu käyttöön. Tutkijat havaitsivat, että haitallinen metadata voi saada välittäjän rahoittamaan ja lähettämään mielivaltaisen token-hyväksyntätapahtuman odotetun maksun sijaan. Tutkijat eivät siirtäneet välittäjän varoja itse, mutta luokittelivat aukon suoraksi poluksi omaisuusvarastukseen, koska hyökkääjä voisi käyttää valtaansa hyväksyäkseen välittäjän hallinnoimien varojen siirtoja.
Kaikista seitsemästä Coinbasen virallisesta referenssipalvelinsarjasta puuttui mekanismit onnistuneen vahvistuksen jälkeen tehtyjen toimenpiteiden peruuttamiseksi . Coinbasen Flask-sarjan versioissa 0.2.1 asti suojattuja resursseja voitiin luovuttaa vahvistuksen jälkeen riippumatta siitä, onnistuiko varsinainen selvitys. Tämä tarkoittaa, että sarjoja käyttävä kauppias saattaa luovuttaa peruuttamattoman palvelun – esimerkiksi API-vastauksen tai digitaalisen tuotteen – vaikka maksu ei koskaan lopullistu lohkoketjussa.
Markkinakeskittymä ja verkkokulut
Tutkimus analysoi yli 119 miljoonaa x402-maksutapahtumaaBase- ja Solana-lohkoketjuissa 1. lokakuuta – 26. joulukuuta 2025 välisenä aikana . Välittäjät käyttivät yhteensä noin 202 000 dollaria verkkokuluihin, josta noin 5 800 dollaria kului Base-tapahtumiin, jotka lopulta peruuntuivat tai epäonnistuivat – mikä osoittaa taloudellisen epäsymmetrian, jossa välittäjä maksaa lohkoketjukuluja, vaikka maksu ei koskaan valmistu . Lohkoketjumittaukset paljastivat merkittävää välittäjäkeskittymää, jossa Coinbasen Base-välittäjä hallitsi ekosysteemiä tapahtumamäärillä tutkimusjakson aikana.
Korjaustilanne (helmikuu 2026)
Tutkijat paljastivat kaikki löydökset vastuullisesti asianomaisille osapuolille . Coinbase, PayAI ja Mogami tunnustivat ongelmat ja ottivat käyttöön korjaustoimenpiteitä, mukaan lukien 6 haavoittuvuuden paikkaaminen helmikuussa 2026. Tutkimusraportti mainitsee, että Coinbase teki erityisiä muutoksia paljastuksen seurauksena. Muiden välittäjien korjaustilannetta ei määritelty saatavilla olevissa lähteissä.
Tutkijoiden suositukset
Välittäjille: Noudattakaa kaikkia kahdeksaa turvallisuussääntöä, jotka koskevat valtuutuksen oikeellisuutta ja suorituksen turvallisuutta; älkää koskaan hyväksykö selvityksen epäonnistumista syyksi palvelun luovuttamiselle; toteuttakaa allekirjoitusten yksilöinti (nonce-seuranta); hylätkää nolla-arvon maksut; luokaa kryptografisesti allekirjoitettuja kuitteja, jotka yhdistävät maksutapahtuman txHashin → palvelupäätepisteen → vastauksen hajautusarvon riitojen ratkaisua varten .
Kauppiaille: Älkää koskaan luovuttako peruuttamattomia palveluita pelkästään off-chain-vahvistuksen perusteella; vaatikaa on-chain-selvityksen vahvistusta ennen toimittamista; auditoikaa kaikki referenssipalvelinsarjat varmistaaksenne, että selvityksen epäonnistuminen laukaisee 402-vastauksen, ei palvelun luovuttamista .
Ekosysteemille: Ottakaa käyttöön standardoidut turvallisuusinvariantit, automatisoitu mustalaatikko-testaus (tutkimus esittelee X402SCOPE-työkalun tähän tarkoitukseen) ja jaetut vastuullisuuskerrokset vähentämään yksittäisen välittäjähaavoittuvuuden räjähdyssädettä .
99 prosenttia kaikista havaituista x402-maksutapahtumista ja 98 prosenttia maksuvolyymista
Neljä hyökkäystyyppiä
Tutkijat tunnistivat neljä hyökkäysvektoria sääntörikkomusten perusteella :
Ilmainen ostos – Kauppias luovuttaa palvelun off-chain-vahvistuksen jälkeen, mutta on-chain-selvitys epäonnistuu myöhemmin (tai virheellinen/nolla-arvon allekirjoitus hyväksytään). Ostaja saa tuotteen maksamatta. Tutkijat vahvistivat kaksi ilmaisen ostamisen polkua suoraan ja luokittelivat 10 muuta korkean riskin tasolle.
Omaisuusvarastus – Hyökkääjä saa haltuunsa maksuvälittäjän hallinnoimia varoja esimerkiksi huijaamalla välittäjän hyväksymään mielivaltaisia token-siirtoja.
Palvelunestö – Maksun toisto, allekirjoituksen uudelleenkäyttö tai haitallinen hyötykuorma saavat välittäjän kaatumaan tai kieltäytymään laillisista tapahtumista.
Kaasun väärinkäyttö – Hyökkääjät pakottavat välittäjän maksamaan kalliista älysopimusten käyttöönotoista tai toistuvista lohkoketjuoperaatioista, mikä tekee selvityksestä rajattoman kustannusloukun sponsorille .
Vakavin aukko: ERC-6492-polku
Vakavin hyökkäyspolku liittyi ERC-6492:een, Ethereum-allekirjoitusstandardiin älysopimuslompakoille, joita ei välttämättä ole vielä otettu käyttöön. Tutkijat havaitsivat, että haitallinen metadata voi saada välittäjän rahoittamaan ja lähettämään mielivaltaisen token-hyväksyntätapahtuman odotetun maksun sijaan. Tutkijat eivät siirtäneet välittäjän varoja itse, mutta luokittelivat aukon suoraksi poluksi omaisuusvarastukseen, koska hyökkääjä voisi käyttää valtaansa hyväksyäkseen välittäjän hallinnoimien varojen siirtoja.
Kaikista seitsemästä Coinbasen virallisesta referenssipalvelinsarjasta puuttui mekanismit onnistuneen vahvistuksen jälkeen tehtyjen toimenpiteiden peruuttamiseksi . Coinbasen Flask-sarjan versioissa 0.2.1 asti suojattuja resursseja voitiin luovuttaa vahvistuksen jälkeen riippumatta siitä, onnistuiko varsinainen selvitys. Tämä tarkoittaa, että sarjoja käyttävä kauppias saattaa luovuttaa peruuttamattoman palvelun – esimerkiksi API-vastauksen tai digitaalisen tuotteen – vaikka maksu ei koskaan lopullistu lohkoketjussa.
Markkinakeskittymä ja verkkokulut
Tutkimus analysoi yli 119 miljoonaa x402-maksutapahtumaaBase- ja Solana-lohkoketjuissa 1. lokakuuta – 26. joulukuuta 2025 välisenä aikana . Välittäjät käyttivät yhteensä noin 202 000 dollaria verkkokuluihin, josta noin 5 800 dollaria kului Base-tapahtumiin, jotka lopulta peruuntuivat tai epäonnistuivat – mikä osoittaa taloudellisen epäsymmetrian, jossa välittäjä maksaa lohkoketjukuluja, vaikka maksu ei koskaan valmistu . Lohkoketjumittaukset paljastivat merkittävää välittäjäkeskittymää, jossa Coinbasen Base-välittäjä hallitsi ekosysteemiä tapahtumamäärillä tutkimusjakson aikana.
Korjaustilanne (helmikuu 2026)
Tutkijat paljastivat kaikki löydökset vastuullisesti asianomaisille osapuolille . Coinbase, PayAI ja Mogami tunnustivat ongelmat ja ottivat käyttöön korjaustoimenpiteitä, mukaan lukien 6 haavoittuvuuden paikkaaminen helmikuussa 2026. Tutkimusraportti mainitsee, että Coinbase teki erityisiä muutoksia paljastuksen seurauksena. Muiden välittäjien korjaustilannetta ei määritelty saatavilla olevissa lähteissä.
Tutkijoiden suositukset
Välittäjille: Noudattakaa kaikkia kahdeksaa turvallisuussääntöä, jotka koskevat valtuutuksen oikeellisuutta ja suorituksen turvallisuutta; älkää koskaan hyväksykö selvityksen epäonnistumista syyksi palvelun luovuttamiselle; toteuttakaa allekirjoitusten yksilöinti (nonce-seuranta); hylätkää nolla-arvon maksut; luokaa kryptografisesti allekirjoitettuja kuitteja, jotka yhdistävät maksutapahtuman txHashin → palvelupäätepisteen → vastauksen hajautusarvon riitojen ratkaisua varten .
Kauppiaille: Älkää koskaan luovuttako peruuttamattomia palveluita pelkästään off-chain-vahvistuksen perusteella; vaatikaa on-chain-selvityksen vahvistusta ennen toimittamista; auditoikaa kaikki referenssipalvelinsarjat varmistaaksenne, että selvityksen epäonnistuminen laukaisee 402-vastauksen, ei palvelun luovuttamista .
Ekosysteemille: Ottakaa käyttöön standardoidut turvallisuusinvariantit, automatisoitu mustalaatikko-testaus (tutkimus esittelee X402SCOPE-työkalun tähän tarkoitukseen) ja jaetut vastuullisuuskerrokset vähentämään yksittäisen välittäjähaavoittuvuuden räjähdyssädettä .
arxiv.orgWhen HTTP 402 Meets the Blockchain: Risks on Emerging x402 ...
bitget.com31 Security Flaws Expose 99% of x402 Crypto Payments to ...
cryptorank.io31 Security Flaws Expose 99% of x402 Crypto Payments to ...
research.4pillars.iox402에는 ‘중앙화된 책임’이 필요하다.