Empat Kelas Serangan

Peneliti menurunkan empat vektor serangan dari pelanggaran aturan tersebut :

• Belanja Gratis (Free Shopping) – Pedagang memberikan layanan setelah verifikasi off-chain berhasil, tetapi penyelesaian on-chain kemudian gagal (atau tanda tangan yang tidak valid/bernilai nol diterima). Pembeli mendapatkan produk tanpa membayar. Peneliti secara langsung memvalidasi dua jalur belanja gratis dan mengklasifikasikan 10 lainnya sebagai berisiko tinggi.
• Pencurian Aset (Asset Theft) – Penyerang mendapatkan kendali atas aset yang dipegang penyedia, misalnya dengan mengelabui penyedia agar menyetujui transfer token arbitrer.
• Penolakan Layanan (Service Denial) – Pemutaran ulang pembayaran, penggunaan ulang tanda tangan, atau muatan berbahaya menyebabkan penyedia mogok atau menolak transaksi yang sah.
• Penyalahgunaan Gas (Gas Abuse) – Penyerang memaksa penyedia membayar penyebaran kontrak pintar yang mahal atau operasi on-chain berulang, mengubah penyelesaian menjadi lubang biaya tak terbatas bagi sponsor .

Celah Paling Parah: Jalur ERC-6492

Jalur serangan paling parah melibatkan ERC-6492, standar tanda tangan Ethereum untuk dompet kontrak pintar yang mungkin belum digunakan. Peneliti menemukan bahwa metadata berbahaya dapat menyebabkan penyedia mendanai dan mengirimkan transaksi persetujuan token arbitrer, bukan pembayaran yang diharapkan . Para peneliti tidak memindahkan dana penyedia sendiri, tetapi mengklasifikasikan celah ini sebagai jalur langsung menuju pencurian aset karena penyerang dapat menggunakan wewenang itu untuk menyetujui transfer aset yang dikendalikan oleh penyedia.

Risiko di Sisi Pedagang: Kit Server Referensi Coinbase

Ketujuh kit server referensi resmi Coinbase yang diperiksa oleh peneliti tidak memiliki mekanisme eksplisit untuk membalikkan tindakan yang diambil setelah verifikasi yang berhasil . Dalam versi kit Flask Coinbase hingga 0.2.1, sumber daya yang dilindungi dapat dilepaskan setelah verifikasi terlepas dari apakah penyelesaian selanjutnya berhasil. Ini berarti pedagang yang menggunakan kit tersebut dapat menyerahkan layanan yang tidak dapat dibatalkan — misalnya, respons API atau barang digital — sementara pembayaran tidak pernah diselesaikan di on-chain.

Konsentrasi Pasar dan Biaya Jaringan

Studi ini menganalisis lebih dari 119 juta transaksi x402 di Base dan Solana antara 1 Oktober dan 26 Desember 2025 . Para penyedia secara kolektif menghabiskan sekitar $202.000 untuk biaya jaringan, termasuk sekitar $5.800 untuk transaksi Base yang pada akhirnya dikembalikan atau gagal — menunjukkan asimetri ekonomi di mana penyedia menanggung biaya blockchain bahkan ketika pembayaran tidak pernah selesai . Pengukuran on-chain lebih lanjut mengkuantifikasi sentralisasi penyedia yang signifikan, dengan penyedia Base milik Coinbase mendominasi ekosistem dalam volume transaksi selama periode studi.

Status Perbaikan (per Februari 2026)

Para peneliti mengungkapkan secara bertanggung jawab semua temuan kepada pihak yang terdampak . Coinbase, PayAI, dan Mogami mengakui masalah tersebut dan mengadopsi mitigasi, termasuk menambal 6 kerentanan pada Februari 2026 . Makalah tersebut mencatat bahwa Coinbase membuat perubahan spesifik sebagai tanggapan atas pengungkapan tersebut. Status perbaikan penyedia lain tidak disebutkan dalam sumber yang tersedia.

Rekomendasi Peneliti

• Untuk penyedia: Terapkan kedelapan aturan keamanan yang mencakup kebenaran otorisasi dan keamanan eksekusi; jangan pernah menerima kegagalan penyelesaian sebagai alasan untuk memberikan layanan; terapkan deduplikasi tanda tangan (pelacakan nonce); tolak pembayaran bernilai nol; buat tanda terima yang ditandatangani secara kriptografis yang menghubungkan txHash pembayaran → titik akhir layanan → hash respons untuk resolusi sengketa .
• Untuk pedagang: Jangan pernah melepaskan layanan yang tidak dapat dibatalkan segera setelah verifikasi off-chain saja; memerlukan konfirmasi penyelesaian on-chain sebelum pengiriman; audit setiap kit server referensi untuk memastikan kegagalan penyelesaian memicu respons 402, bukan pengiriman layanan .
• Untuk ekosistem: Adopsi invarian keamanan standar, pengujian black-box otomatis (makalah ini memperkenalkan X402SCOPE untuk tujuan ini), dan lapisan akuntabilitas bersama untuk mengurangi radius ledakan dari setiap celah penyedia tunggal .

Empat Kelas Serangan

Peneliti menurunkan empat vektor serangan dari pelanggaran aturan tersebut :

• Belanja Gratis (Free Shopping) – Pedagang memberikan layanan setelah verifikasi off-chain berhasil, tetapi penyelesaian on-chain kemudian gagal (atau tanda tangan yang tidak valid/bernilai nol diterima). Pembeli mendapatkan produk tanpa membayar. Peneliti secara langsung memvalidasi dua jalur belanja gratis dan mengklasifikasikan 10 lainnya sebagai berisiko tinggi.
• Pencurian Aset (Asset Theft) – Penyerang mendapatkan kendali atas aset yang dipegang penyedia, misalnya dengan mengelabui penyedia agar menyetujui transfer token arbitrer.
• Penolakan Layanan (Service Denial) – Pemutaran ulang pembayaran, penggunaan ulang tanda tangan, atau muatan berbahaya menyebabkan penyedia mogok atau menolak transaksi yang sah.
• Penyalahgunaan Gas (Gas Abuse) – Penyerang memaksa penyedia membayar penyebaran kontrak pintar yang mahal atau operasi on-chain berulang, mengubah penyelesaian menjadi lubang biaya tak terbatas bagi sponsor .

Celah Paling Parah: Jalur ERC-6492

Jalur serangan paling parah melibatkan ERC-6492, standar tanda tangan Ethereum untuk dompet kontrak pintar yang mungkin belum digunakan. Peneliti menemukan bahwa metadata berbahaya dapat menyebabkan penyedia mendanai dan mengirimkan transaksi persetujuan token arbitrer, bukan pembayaran yang diharapkan . Para peneliti tidak memindahkan dana penyedia sendiri, tetapi mengklasifikasikan celah ini sebagai jalur langsung menuju pencurian aset karena penyerang dapat menggunakan wewenang itu untuk menyetujui transfer aset yang dikendalikan oleh penyedia.

Risiko di Sisi Pedagang: Kit Server Referensi Coinbase

Ketujuh kit server referensi resmi Coinbase yang diperiksa oleh peneliti tidak memiliki mekanisme eksplisit untuk membalikkan tindakan yang diambil setelah verifikasi yang berhasil . Dalam versi kit Flask Coinbase hingga 0.2.1, sumber daya yang dilindungi dapat dilepaskan setelah verifikasi terlepas dari apakah penyelesaian selanjutnya berhasil. Ini berarti pedagang yang menggunakan kit tersebut dapat menyerahkan layanan yang tidak dapat dibatalkan — misalnya, respons API atau barang digital — sementara pembayaran tidak pernah diselesaikan di on-chain.

Konsentrasi Pasar dan Biaya Jaringan

Studi ini menganalisis lebih dari 119 juta transaksi x402 di Base dan Solana antara 1 Oktober dan 26 Desember 2025 . Para penyedia secara kolektif menghabiskan sekitar $202.000 untuk biaya jaringan, termasuk sekitar $5.800 untuk transaksi Base yang pada akhirnya dikembalikan atau gagal — menunjukkan asimetri ekonomi di mana penyedia menanggung biaya blockchain bahkan ketika pembayaran tidak pernah selesai . Pengukuran on-chain lebih lanjut mengkuantifikasi sentralisasi penyedia yang signifikan, dengan penyedia Base milik Coinbase mendominasi ekosistem dalam volume transaksi selama periode studi.

Status Perbaikan (per Februari 2026)

Para peneliti mengungkapkan secara bertanggung jawab semua temuan kepada pihak yang terdampak . Coinbase, PayAI, dan Mogami mengakui masalah tersebut dan mengadopsi mitigasi, termasuk menambal 6 kerentanan pada Februari 2026 . Makalah tersebut mencatat bahwa Coinbase membuat perubahan spesifik sebagai tanggapan atas pengungkapan tersebut. Status perbaikan penyedia lain tidak disebutkan dalam sumber yang tersedia.

Rekomendasi Peneliti

• Untuk penyedia: Terapkan kedelapan aturan keamanan yang mencakup kebenaran otorisasi dan keamanan eksekusi; jangan pernah menerima kegagalan penyelesaian sebagai alasan untuk memberikan layanan; terapkan deduplikasi tanda tangan (pelacakan nonce); tolak pembayaran bernilai nol; buat tanda terima yang ditandatangani secara kriptografis yang menghubungkan txHash pembayaran → titik akhir layanan → hash respons untuk resolusi sengketa .
• Untuk pedagang: Jangan pernah melepaskan layanan yang tidak dapat dibatalkan segera setelah verifikasi off-chain saja; memerlukan konfirmasi penyelesaian on-chain sebelum pengiriman; audit setiap kit server referensi untuk memastikan kegagalan penyelesaian memicu respons 402, bukan pengiriman layanan .
• Untuk ekosistem: Adopsi invarian keamanan standar, pengujian black-box otomatis (makalah ini memperkenalkan X402SCOPE untuk tujuan ini), dan lapisan akuntabilitas bersama untuk mengurangi radius ledakan dari setiap celah penyedia tunggal .