Empat Kelas Serangan

Penyelidik memperoleh empat vektor serangan daripada pelanggaran peraturan :

• Beli-belah Percuma – Pedagang menghantar perkhidmatan selepas pengesahan di luar rantai berjaya, tetapi penyelesaian dalam rantai kemudian gagal (atau tandatangan tidak sah/jumlah sifar diterima). Pembeli mendapat produk tanpa membayar. Penyelidik mengesahkan secara langsung dua laluan beli-belah percuma dan mengklasifikasikan 10 lagi sebagai berisiko tinggi.
• Kecurian Aset – Penyerang mendapat kawalan ke atas aset yang dipegang oleh pemudah cara, contohnya dengan memperdaya pemudah cara untuk meluluskan pemindahan token sewenang-wenangnya.
• Penafian Perkhidmatan – Main semula pembayaran, penggunaan semula tandatangan, atau muatan berniat jahat menyebabkan pemudah cara ranap atau menolak transaksi yang sah.
• Penyalahgunaan Gas – Penyerang memaksa pemudah cara membayar untuk penggunaan kontrak pintar yang mahal atau operasi dalam rantai berulang, menjadikan penyelesaian sebagai lubang kos tanpa had bagi penaja .

Kelemahan Paling Serius: Laluan ERC-6492

Laluan serangan paling serius melibatkan ERC-6492, satu standard tandatangan Ethereum untuk dompet kontrak pintar yang mungkin belum digunakan. Penyelidik mendapati bahawa metadata berniat jahat boleh menyebabkan pemudah cara membiayai dan menghantar transaksi kelulusan token sewenang-wenangnya dan bukannya pembayaran yang dijangka . Penyelidik tidak memindahkan dana pemudah cara sendiri tetapi mengklasifikasikan kelemahan itu sebagai laluan terus kepada kecurian aset kerana penyerang boleh menggunakan kuasa itu untuk meluluskan pemindahan aset yang dikawal oleh pemudah cara.

Risiko di Pihak Pedagang: Kit Pelayan Rujukan Coinbase

Kesemua tujuh kit pelayan rujukan rasmi Coinbase yang diperiksa oleh penyelidik kekurangan mekanisme eksplisit untuk membalikkan tindakan yang diambil selepas pengesahan berjaya . Dalam versi kit Flask Coinbase sehingga 0.2.1, sumber yang dilindungi boleh dilepaskan selepas pengesahan tanpa mengira sama ada penyelesaian berikutnya berjaya. Ini bermakna pedagang yang menggunakan kit tersebut boleh menyerahkan perkhidmatan yang tidak boleh diterbalikkan — contohnya, respons API atau barangan digital — manakala pembayaran tidak pernah dimuktamadkan dalam rantai.

Penumpuan Pasaran dan Yuran Rangkaian

Kajian menganalisis lebih 119 juta transaksi x402 di Base dan Solana antara 1 Oktober dan 26 Disember 2025 . Pemudah cara secara kolektif membelanjakan kira-kira $202,000 untuk yuran rangkaian, termasuk kira-kira $5,800 untuk transaksi Base yang akhirnya berbalik atau gagal — menunjukkan asimetri ekonomi di mana pemudah cara menanggung kos rantaian blok walaupun pembayaran tidak pernah selesai . Pengukuran dalam rantai selanjutnya mengukur pemusatan pemudah cara yang ketara, dengan pemudah cara Base Coinbase mendominasi ekosistem dalam jumlah transaksi semasa tempoh kajian.

Status Pembetulan (setakat Februari 2026)

Penyelidik mendedahkan secara bertanggungjawab semua penemuan kepada pihak yang terjejas . Coinbase, PayAI, dan Mogami mengakui isu tersebut dan menerima pakai langkah mitigasi, termasuk menambal 6 kelemahan pada Februari 2026 . Kertas kerja mencatatkan bahawa Coinbase membuat perubahan khusus sebagai respons kepada pendedahan tersebut. Status pembetulan pemudah cara lain tidak dinyatakan dalam sumber yang tersedia.

Cadangan Penyelidik

• Untuk pemudah cara: Kuatkuasakan semua lapan peraturan keselamatan yang merangkumi ketepatan kebenaran dan keselamatan pelaksanaan; jangan sekali-kali menerima kegagalan penyelesaian sebagai sebab untuk menghantar perkhidmatan; laksanakan penyahduplikasian tandatangan (penjejakan nonce); tolak pembayaran jumlah sifar; hasilkan resit bertandatangan secara kriptografi yang menghubungkan txHash pembayaran → titik akhir perkhidmatan → cincang respons untuk penyelesaian pertikaian .
• Untuk pedagang: Jangan sekali-kali melepaskan perkhidmatan yang tidak boleh diterbalikkan serta-merta selepas pengesahan di luar rantai sahaja; memerlukan pengesahan penyelesaian dalam rantai sebelum penghantaran; audit mana-mana kit pelayan rujukan untuk memastikan kegagalan penyelesaian mencetuskan respons 402, bukan penghantaran perkhidmatan .
• Untuk ekosistem: Terima pakai invarian keselamatan piawai, ujian kotak hitam automatik (kertas kerja memperkenalkan X402SCOPE untuk tujuan ini), dan lapisan akauntabiliti dikongsi untuk mengurangkan radius letupan sebarang kelemahan pemudah cara tunggal .

Empat Kelas Serangan

Penyelidik memperoleh empat vektor serangan daripada pelanggaran peraturan :

• Beli-belah Percuma – Pedagang menghantar perkhidmatan selepas pengesahan di luar rantai berjaya, tetapi penyelesaian dalam rantai kemudian gagal (atau tandatangan tidak sah/jumlah sifar diterima). Pembeli mendapat produk tanpa membayar. Penyelidik mengesahkan secara langsung dua laluan beli-belah percuma dan mengklasifikasikan 10 lagi sebagai berisiko tinggi.
• Kecurian Aset – Penyerang mendapat kawalan ke atas aset yang dipegang oleh pemudah cara, contohnya dengan memperdaya pemudah cara untuk meluluskan pemindahan token sewenang-wenangnya.
• Penafian Perkhidmatan – Main semula pembayaran, penggunaan semula tandatangan, atau muatan berniat jahat menyebabkan pemudah cara ranap atau menolak transaksi yang sah.
• Penyalahgunaan Gas – Penyerang memaksa pemudah cara membayar untuk penggunaan kontrak pintar yang mahal atau operasi dalam rantai berulang, menjadikan penyelesaian sebagai lubang kos tanpa had bagi penaja .

Kelemahan Paling Serius: Laluan ERC-6492

Laluan serangan paling serius melibatkan ERC-6492, satu standard tandatangan Ethereum untuk dompet kontrak pintar yang mungkin belum digunakan. Penyelidik mendapati bahawa metadata berniat jahat boleh menyebabkan pemudah cara membiayai dan menghantar transaksi kelulusan token sewenang-wenangnya dan bukannya pembayaran yang dijangka . Penyelidik tidak memindahkan dana pemudah cara sendiri tetapi mengklasifikasikan kelemahan itu sebagai laluan terus kepada kecurian aset kerana penyerang boleh menggunakan kuasa itu untuk meluluskan pemindahan aset yang dikawal oleh pemudah cara.

Risiko di Pihak Pedagang: Kit Pelayan Rujukan Coinbase

Kesemua tujuh kit pelayan rujukan rasmi Coinbase yang diperiksa oleh penyelidik kekurangan mekanisme eksplisit untuk membalikkan tindakan yang diambil selepas pengesahan berjaya . Dalam versi kit Flask Coinbase sehingga 0.2.1, sumber yang dilindungi boleh dilepaskan selepas pengesahan tanpa mengira sama ada penyelesaian berikutnya berjaya. Ini bermakna pedagang yang menggunakan kit tersebut boleh menyerahkan perkhidmatan yang tidak boleh diterbalikkan — contohnya, respons API atau barangan digital — manakala pembayaran tidak pernah dimuktamadkan dalam rantai.

Penumpuan Pasaran dan Yuran Rangkaian

Kajian menganalisis lebih 119 juta transaksi x402 di Base dan Solana antara 1 Oktober dan 26 Disember 2025 . Pemudah cara secara kolektif membelanjakan kira-kira $202,000 untuk yuran rangkaian, termasuk kira-kira $5,800 untuk transaksi Base yang akhirnya berbalik atau gagal — menunjukkan asimetri ekonomi di mana pemudah cara menanggung kos rantaian blok walaupun pembayaran tidak pernah selesai . Pengukuran dalam rantai selanjutnya mengukur pemusatan pemudah cara yang ketara, dengan pemudah cara Base Coinbase mendominasi ekosistem dalam jumlah transaksi semasa tempoh kajian.

Status Pembetulan (setakat Februari 2026)

Penyelidik mendedahkan secara bertanggungjawab semua penemuan kepada pihak yang terjejas . Coinbase, PayAI, dan Mogami mengakui isu tersebut dan menerima pakai langkah mitigasi, termasuk menambal 6 kelemahan pada Februari 2026 . Kertas kerja mencatatkan bahawa Coinbase membuat perubahan khusus sebagai respons kepada pendedahan tersebut. Status pembetulan pemudah cara lain tidak dinyatakan dalam sumber yang tersedia.

Cadangan Penyelidik

• Untuk pemudah cara: Kuatkuasakan semua lapan peraturan keselamatan yang merangkumi ketepatan kebenaran dan keselamatan pelaksanaan; jangan sekali-kali menerima kegagalan penyelesaian sebagai sebab untuk menghantar perkhidmatan; laksanakan penyahduplikasian tandatangan (penjejakan nonce); tolak pembayaran jumlah sifar; hasilkan resit bertandatangan secara kriptografi yang menghubungkan txHash pembayaran → titik akhir perkhidmatan → cincang respons untuk penyelesaian pertikaian .
• Untuk pedagang: Jangan sekali-kali melepaskan perkhidmatan yang tidak boleh diterbalikkan serta-merta selepas pengesahan di luar rantai sahaja; memerlukan pengesahan penyelesaian dalam rantai sebelum penghantaran; audit mana-mana kit pelayan rujukan untuk memastikan kegagalan penyelesaian mencetuskan respons 402, bukan penghantaran perkhidmatan .
• Untuk ekosistem: Terima pakai invarian keselamatan piawai, ujian kotak hitam automatik (kertas kerja memperkenalkan X402SCOPE untuk tujuan ini), dan lapisan akauntabiliti dikongsi untuk mengurangkan radius letupan sebarang kelemahan pemudah cara tunggal .