x402決済ファシリテーター15社で31件のセキュリティ脆弱性を確認 – Coinbaseを含む全システムが不合格

最も深刻な脆弱性：ERC-6492経路

最も深刻な攻撃経路はERC-6492に関連するものでした。ERC-6492は、まだデプロイされていない可能性のあるスマートコントラクトウォレット向けのイーサリアム署名標準です。研究者らは、悪意のあるメタデータにより、ファシリテーターが本来の支払いトランザクションではなく、任意のトークン承認トランザクションに資金を出して送信させることを発見しました。研究者自身はファシリテーターの資金を移動させることはしませんでしたが、攻撃者がこの権限を利用してファシリテーター管理下の資産の移転を承認できるため、この欠陥を資産窃取への直接的な経路と分類しています。

マーチャント側のリスク：Coinbaseリファレンスサーバーキット

研究者によって検査されたCoinbase公式リファレンスサーバーキット7つすべてにおいて、検証成功後に実行されたアクションを取り消すための明示的なメカニズムが欠如していることが判明しました。CoinbaseのFlaskキットのバージョン0.2.1まででは、保護されたリソースが、その後の決済が成功したかどうかに関わらず、検証後に解放される可能性がありました。つまり、これらのキットを使用するマーチャントは、支払いがオンチェーンで確定しないまま、APIレスポンスやデジタルグッズなどの不可逆的なサービスを引き渡してしまうリスクがあることを意味します。

市場集中度とネットワーク手数料

本研究では、2025年10月1日から12月26日までの間にBaseとSolana上で行われた1億1900万件超のx402取引を分析しました。ファシリテーターはネットワーク手数料として合計約20万2000ドルを支払っており、そのうち約5800ドルは最終的にリバートまたは失敗したBase上のトランザクションに費やされていました。これは、決済が完了しなかった場合でも、ファシリテーターがブロックチェーンのコストを負担するという経済的な非対称性を示しています。また、オンチェーンデータの分析により、CoinbaseのBaseファシリテーターが取引量でエコシステムを支配するという、著しいファシリテーターの集中も明らかになりました。

修正状況（2026年2月時点）

研究者らは影響を受けた全事業者に責任ある形で脆弱性を開示しました（Responsible Disclosure）。Coinbase、PayAI、Mogamiの3社は問題を認識し、軽減策を採用。2026年2月までに6件の脆弱性にパッチを適用しました。論文では、Coinbaseが開示内容を受けて具体的な変更を行ったことが記されています。他のファシリテーターの修正状況は、入手可能な情報源では明らかにされていません。

研究者からの推奨事項

• ファシリテーター向け：認証の正確性と実行の安全性をカバーする8つのセキュリティルールすべてを厳格に順守する。決済失敗をサービス提供の理由と決してしない。署名の重複を排除する（ノンス管理）。ゼロ額の支払いを拒否する。紛争解決のために、支払いトランザクションハッシュ（txHash）→ サービスエンドポイント → レスポンスハッシュを結びつける暗号署名済みレシートを生成する。
• マーチャント向け：オフチェーン検証のみに基づいて不可逆的なサービスを即座に提供しない。提供前にオンチェーン決済の確認を必須とする。すべてのリファレンスサーバーキットを監査し、決済失敗時にはサービス提供ではなく402レスポンスが返されることを確認する。
• エコシステム全体へ：標準化されたセキュリティ不変条件、自動化されたブラックボックステスト（論文ではこの目的のためにX402SCOPEを紹介）、および共有された説明責任レイヤーを採用し、単一のファシリテーターの欠陥による影響範囲を最小化する。