31개 보안 취약점으로 드러난 x402 결제 시스템의 치명적 허점

가장 심각한 취약점: ERC-6492 경로

가장 심각한 공격 경로는 ERC-6492와 관련됐습니다. ERC-6492는 아직 배포되지 않은 스마트 컨트랙트 지갑을 위한 이더리움 서명 표준입니다. 연구진은 악의적인 메타데이터가 퍼실리테이터로 하여금 예상된 결제 대신 임의의 토큰 승인 거래를 자금 조달해 제출하도록 만들 수 있음을 발견했습니다 . 연구진이 실제 자금을 이동시키지는 않았지만, 공격자가 이 권한을 이용해 퍼실리테이터가 통제하는 자산의 전송을 승인할 수 있기 때문에 자산 도난으로 이어질 수 있는 직접 경로로 분류했습니다.

판매자 위험: 코인베이스 레퍼런스 서버 킷

연구진이 조사한 코인베이스 공식 레퍼런스 서버 킷 7개 모두는 검증 성공 후 수행된 작업을 되돌리는 명시적 메커니즘이 없었습니다 . 코인베이스의 Flask 킷 v0.2.1 이하 버전에서는 후속 정산 성공 여부와 관계없이 검증 직후 보호된 리소스가 제공될 수 있었습니다. 즉, 이 킷을 사용하는 판매자는 결제가 온체인에서 최종 확정되지 않았는데도 API 응답이나 디지털 상품 같은 되돌릴 수 없는 서비스를 제공할 위험이 있습니다.

시장 집중도와 네트워크 수수료

이 연구는 2025년 10월 1일부터 12월 26일까지 베이스(Base)와 솔라나(Solana)에서 1억 1900만 건 이상의 x402 거래를 분석했습니다 . 퍼실리테이터들은 총 약 20만2000달러의 네트워크 수수료를 지출했으며, 이 중 약 5800달러는 최종적으로 되돌려지거나(revert) 실패한 베이스 거래에 사용됐습니다. 이는 결제가 완료되지 않았어도 퍼실리테이터가 블록체인 비용을 부담해야 하는 경제적 비대칭성을 보여줍니다 . 온체인 측정 결과 상당한 퍼실리테이터 집중 현상도 확인됐는데, 연구 기간 동안 코인베이스의 베이스 퍼실리테이터가 거래량에서 생태계를 지배하는 것으로 나타났습니다.

패치 현황 (2026년 2월 기준)

연구진은 발견된 모든 취약점을 관련 업체에 **책임 있는 방식으로 사전 공개(responsible disclosure)**했습니다 . 코인베이스, PayAI, Mogami는 문제를 인지하고 2026년 2월에 6개의 취약점을 패치하는 등 대응 조치를 취했습니다 . 논문은 코인베이스가 공개 내용에 따라 구체적인 변경을 했다고 언급합니다. 다른 퍼실리테이터들의 패치 현황은 공개된 자료에 명시되지 않았습니다.

연구진 권고사항

• 퍼실리테이터 대상: 승인 정확성과 실행 안전성을 포괄하는 8개 보안 규칙을 모두 강제할 것. 정산 실패를 서비스 제공 사유로 절대 받아들이지 말 것. 서명 중복 방지(nonce 추적)를 구현할 것. 금액 0 결제를 거부할 것. 결제 txHash → 서비스 엔드포인트 → 응답 해시를 연결하는 암호학적 서명 영수증을 생성해 분쟁 해결에 활용할 것 .
• 판매자(머천트) 대상: 오프체인 검증만으로 되돌릴 수 없는 서비스를 즉시 제공하지 말 것. 제공 전에 반드시 온체인 정산 확인을 요구할 것. 사용하는 레퍼런스 서버 킷을 감사해 정산 실패 시 402 응답을 반환하고 서비스는 제공되지 않도록 할 것 .
• 생태계 전체: 표준화된 보안 불변식(invariant), 자동화된 블랙박스 테스트(논문에서 X402SCOPE 도구 소개), 공유된 책임 레이어를 도입해 단일 퍼실리테이터 취약점의 피해 범위를 최소화할 것 .