Tutkijat löysivät 31 tietoturva-aukkoa 15 x402-maksuvälittäjästä – jokainen järjestelmä epäonnistui

x402-maksuprotokolla mahdollistaa tekoälyagenttien ja muiden koneiden maksaa digitaalisista palveluista kryptovaluutoilla HTTP 402 -vastauksen kautta. Nyt julkaistu akateeminen tutkimus kuitenkin paljastaa, että maksuja käsittelevä infrastruktuuri on pahasti rikki.

EPFL:n, Zhejiangin yliopiston ja erään riippumattoman tutkijan ryhmä esitti ensimmäisen systemaattisen tietoturva-analyysinsa 35. USENIX Security Symposiumissa . He testasivat 15 merkittävää maksuvälittäjää – mukana Coinbase, Thirdweb, PayAI ja Mogami – ja havaitsivat, että jokainen testattu välittäjä rikkoi vähintään yhtä kahdeksasta turvallisuussäännöstä. Yhteensä 49 sääntörikkomusta johtivat 31 erilliseen haavoittuvuuteen . Nämä välittäjät käsittelevät 99 prosenttia kaikista havaituista x402-maksutapahtumista ja 98 prosenttia maksuvolyymista, palvellen yli 60 000 myyjää ja 360 000 ostajaa .

Neljä hyökkäystyyppiä

Tutkijat tunnistivat neljä hyökkäysvektoria sääntörikkomusten perusteella :

• Ilmainen ostos – Kauppias luovuttaa palvelun off-chain-vahvistuksen jälkeen, mutta on-chain-selvitys epäonnistuu myöhemmin (tai virheellinen/nolla-arvon allekirjoitus hyväksytään). Ostaja saa tuotteen maksamatta. Tutkijat vahvistivat kaksi ilmaisen ostamisen polkua suoraan ja luokittelivat 10 muuta korkean riskin tasolle.
• Omaisuusvarastus – Hyökkääjä saa haltuunsa maksuvälittäjän hallinnoimia varoja esimerkiksi huijaamalla välittäjän hyväksymään mielivaltaisia token-siirtoja.
• Palvelunestö – Maksun toisto, allekirjoituksen uudelleenkäyttö tai haitallinen hyötykuorma saavat välittäjän kaatumaan tai kieltäytymään laillisista tapahtumista.
• Kaasun väärinkäyttö – Hyökkääjät pakottavat välittäjän maksamaan kalliista älysopimusten käyttöönotoista tai toistuvista lohkoketjuoperaatioista, mikä tekee selvityksestä rajattoman kustannusloukun sponsorille .

Vakavin aukko: ERC-6492-polku

Vakavin hyökkäyspolku liittyi ERC-6492:een, Ethereum-allekirjoitusstandardiin älysopimuslompakoille, joita ei välttämättä ole vielä otettu käyttöön. Tutkijat havaitsivat, että haitallinen metadata voi saada välittäjän rahoittamaan ja lähettämään mielivaltaisen token-hyväksyntätapahtuman odotetun maksun sijaan . Tutkijat eivät siirtäneet välittäjän varoja itse, mutta luokittelivat aukon suoraksi poluksi omaisuusvarastukseen, koska hyökkääjä voisi käyttää valtaansa hyväksyäkseen välittäjän hallinnoimien varojen siirtoja.

Kauppiaiden riski: Coinbasen referenssipalvelinsarjat

Kaikista seitsemästä Coinbasen virallisesta referenssipalvelinsarjasta puuttui mekanismit onnistuneen vahvistuksen jälkeen tehtyjen toimenpiteiden peruuttamiseksi . Coinbasen Flask-sarjan versioissa 0.2.1 asti suojattuja resursseja voitiin luovuttaa vahvistuksen jälkeen riippumatta siitä, onnistuiko varsinainen selvitys. Tämä tarkoittaa, että sarjoja käyttävä kauppias saattaa luovuttaa peruuttamattoman palvelun – esimerkiksi API-vastauksen tai digitaalisen tuotteen – vaikka maksu ei koskaan lopullistu lohkoketjussa.

Markkinakeskittymä ja verkkokulut

Tutkimus analysoi yli 119 miljoonaa x402-maksutapahtumaa Base- ja Solana-lohkoketjuissa 1. lokakuuta – 26. joulukuuta 2025 välisenä aikana . Välittäjät käyttivät yhteensä noin 202 000 dollaria verkkokuluihin, josta noin 5 800 dollaria kului Base-tapahtumiin, jotka lopulta peruuntuivat tai epäonnistuivat – mikä osoittaa taloudellisen epäsymmetrian, jossa välittäjä maksaa lohkoketjukuluja, vaikka maksu ei koskaan valmistu . Lohkoketjumittaukset paljastivat merkittävää välittäjäkeskittymää, jossa Coinbasen Base-välittäjä hallitsi ekosysteemiä tapahtumamäärillä tutkimusjakson aikana.

Korjaustilanne (helmikuu 2026)

Tutkijat paljastivat kaikki löydökset vastuullisesti asianomaisille osapuolille . Coinbase, PayAI ja Mogami tunnustivat ongelmat ja ottivat käyttöön korjaustoimenpiteitä, mukaan lukien 6 haavoittuvuuden paikkaaminen helmikuussa 2026 . Tutkimusraportti mainitsee, että Coinbase teki erityisiä muutoksia paljastuksen seurauksena. Muiden välittäjien korjaustilannetta ei määritelty saatavilla olevissa lähteissä.

Tutkijoiden suositukset

• Välittäjille: Noudattakaa kaikkia kahdeksaa turvallisuussääntöä, jotka koskevat valtuutuksen oikeellisuutta ja suorituksen turvallisuutta; älkää koskaan hyväksykö selvityksen epäonnistumista syyksi palvelun luovuttamiselle; toteuttakaa allekirjoitusten yksilöinti (nonce-seuranta); hylätkää nolla-arvon maksut; luokaa kryptografisesti allekirjoitettuja kuitteja, jotka yhdistävät maksutapahtuman txHashin → palvelupäätepisteen → vastauksen hajautusarvon riitojen ratkaisua varten .
• Kauppiaille: Älkää koskaan luovuttako peruuttamattomia palveluita pelkästään off-chain-vahvistuksen perusteella; vaatikaa on-chain-selvityksen vahvistusta ennen toimittamista; auditoikaa kaikki referenssipalvelinsarjat varmistaaksenne, että selvityksen epäonnistuminen laukaisee 402-vastauksen, ei palvelun luovuttamista .
• Ekosysteemille: Ottakaa käyttöön standardoidut turvallisuusinvariantit, automatisoitu mustalaatikko-testaus (tutkimus esittelee X402SCOPE-työkalun tähän tarkoitukseen) ja jaetut vastuullisuuskerrokset vähentämään yksittäisen välittäjähaavoittuvuuden räjähdyssädettä .