Fire angrepsklasser

Forskerne utledet fire angrepsvektorer fra regelbruddene :

• Gratisshopping – Selgeren leverer en tjeneste etter at off-chain-verifisering er vellykket, men on-chain-oppgjøret mislykkes senere (eller en ugyldig/nullbeløp-signatur aksepteres). Kjøperen får produktet uten å betale. Forskerne validerte direkte to gratisshopping-stier og klassifiserte ytterligere 10 som høyrisiko.
• Aktivatyveri – En angriper får kontroll over eiendeler som holdes av formidleren, for eksempel ved å lure formidleren til å godkjenne vilkårlige token-overføringer.
• Tjenestenekt – Betalingsreplay, signaturgjenbruk eller ondsinnede data får formidleren til å krasje eller avvise legitime transaksjoner.
• Gassmisbruk – Angripere tvinger formidleren til å betale for dyre smartkontrakt-distribusjoner eller gjentatte on-chain-operasjoner, noe som gjør oppgjør til en kostnadssluk for sponsoren .

Det alvorligste hullet: ERC-6492-stien

Den alvorligste angrepsveien involverte ERC-6492, en Ethereum-signaturstandard for smartkontrakt-lommebøker som kanskje ikke er distribuert ennå. Forskerne fant at ondsinnede metadata kunne få en formidler til å finansiere og sende inn en vilkårlig token-godkjenningstransaksjon i stedet for den forventede betalingen . Forskerne flyttet ikke formidlerens midler selv, men klassifiserte feilen som en direkte vei til aktivatyveri fordi en angriper kunne bruke denne autoriteten til å godkjenne overføringer av eiendeler kontrollert av formidleren.

Selgerrisiko: Coinbase referanseserver-sett

Alle sju offisielle Coinbase referanseserver-sett som ble undersøkt av forskerne, manglet eksplisitte mekanismer for å reversere handlinger utført etter en vellykket verifisering . I versjoner av Coinbase sitt Flask-sett opp til 0.2.1, kunne beskyttede ressurser frigis etter verifisering uavhengig av om det påfølgende oppgjøret lyktes. Dette betyr at en selger som bruker disse settene, kan overlevere en irreversibel tjeneste – f.eks. et API-svar eller en digital vare – mens betalingen aldri blir endelig på kjeden.

Markedskonsentrasjon og nettverksgebyrer

Studien analyserte over 119 millioner x402-transaksjoner på Base og Solana mellom 1. oktober og 26. desember 2025 . Formidlerne brukte til sammen omtrent 202 000 dollar på nettverksgebyrer, inkludert omtrent 5 800 dollar på Base-transaksjoner som til slutt ble reversert eller mislyktes – noe som viser den økonomiske asymmetrien hvor en formidler pådrar seg blokkjede-kostnader selv når en betaling aldri fullføres . On-chain-målingene kvantifiserte videre betydelig formidlersentralisering, med Coinbases Base-formidler som dominerte økosystemet i transaksjonsvolum i studieperioden.

Oppdateringsstatus (per februar 2026)

Forskerne rapporterte alle funnene ansvarlig til de berørte partene . Coinbase, PayAI og Mogami bekreftet problemene og innførte mottiltak, inkludert å lappe 6 sårbarheter i februar 2026 . Artikkelen bemerker at Coinbase gjorde spesifikke endringer som svar på avsløringen. Oppdateringsstatusen for andre formidlere ble ikke spesifisert i tilgjengelige kilder.

Forskerne anbefaler

• For formidlere: Håndhev alle åtte sikkerhetsregler som dekker autorisasjonskorrekthet og utførelsessikkerhet; aksepter aldri oppgjørsfeil som en grunn til å levere tjeneste; implementer signaturdeduplisering (nonce-sporing); avvis nullbeløpsbetalinger; generer kryptografisk signerte kvitteringer som kobler betaling txHash → tjenesteendepunkt → responshash for tvisteløsning .
• For selgere: Slipp aldri irreversible tjenester umiddelbart etter off-chain-verifisering alene; krev on-chain-oppgjørsbekreftelse før levering; revider ethvert referanseserver-sett for å sikre at oppgjørsfeil utløser en 402-respons, ikke tjenestelevering .
• For økosystemet: Ta i bruk standardiserte sikkerhetsinvariabler, automatisert black-box-testing (artikkelen introduserer X402SCOPE for dette formålet), og delte ansvarlighetslag for å redusere skadeomfanget av en enkelt formidlerfeil .

Fire angrepsklasser

Forskerne utledet fire angrepsvektorer fra regelbruddene :

• Gratisshopping – Selgeren leverer en tjeneste etter at off-chain-verifisering er vellykket, men on-chain-oppgjøret mislykkes senere (eller en ugyldig/nullbeløp-signatur aksepteres). Kjøperen får produktet uten å betale. Forskerne validerte direkte to gratisshopping-stier og klassifiserte ytterligere 10 som høyrisiko.
• Aktivatyveri – En angriper får kontroll over eiendeler som holdes av formidleren, for eksempel ved å lure formidleren til å godkjenne vilkårlige token-overføringer.
• Tjenestenekt – Betalingsreplay, signaturgjenbruk eller ondsinnede data får formidleren til å krasje eller avvise legitime transaksjoner.
• Gassmisbruk – Angripere tvinger formidleren til å betale for dyre smartkontrakt-distribusjoner eller gjentatte on-chain-operasjoner, noe som gjør oppgjør til en kostnadssluk for sponsoren .

Det alvorligste hullet: ERC-6492-stien

Den alvorligste angrepsveien involverte ERC-6492, en Ethereum-signaturstandard for smartkontrakt-lommebøker som kanskje ikke er distribuert ennå. Forskerne fant at ondsinnede metadata kunne få en formidler til å finansiere og sende inn en vilkårlig token-godkjenningstransaksjon i stedet for den forventede betalingen . Forskerne flyttet ikke formidlerens midler selv, men klassifiserte feilen som en direkte vei til aktivatyveri fordi en angriper kunne bruke denne autoriteten til å godkjenne overføringer av eiendeler kontrollert av formidleren.

Selgerrisiko: Coinbase referanseserver-sett

Alle sju offisielle Coinbase referanseserver-sett som ble undersøkt av forskerne, manglet eksplisitte mekanismer for å reversere handlinger utført etter en vellykket verifisering . I versjoner av Coinbase sitt Flask-sett opp til 0.2.1, kunne beskyttede ressurser frigis etter verifisering uavhengig av om det påfølgende oppgjøret lyktes. Dette betyr at en selger som bruker disse settene, kan overlevere en irreversibel tjeneste – f.eks. et API-svar eller en digital vare – mens betalingen aldri blir endelig på kjeden.

Markedskonsentrasjon og nettverksgebyrer

Studien analyserte over 119 millioner x402-transaksjoner på Base og Solana mellom 1. oktober og 26. desember 2025 . Formidlerne brukte til sammen omtrent 202 000 dollar på nettverksgebyrer, inkludert omtrent 5 800 dollar på Base-transaksjoner som til slutt ble reversert eller mislyktes – noe som viser den økonomiske asymmetrien hvor en formidler pådrar seg blokkjede-kostnader selv når en betaling aldri fullføres . On-chain-målingene kvantifiserte videre betydelig formidlersentralisering, med Coinbases Base-formidler som dominerte økosystemet i transaksjonsvolum i studieperioden.

Oppdateringsstatus (per februar 2026)

Forskerne rapporterte alle funnene ansvarlig til de berørte partene . Coinbase, PayAI og Mogami bekreftet problemene og innførte mottiltak, inkludert å lappe 6 sårbarheter i februar 2026 . Artikkelen bemerker at Coinbase gjorde spesifikke endringer som svar på avsløringen. Oppdateringsstatusen for andre formidlere ble ikke spesifisert i tilgjengelige kilder.

Forskerne anbefaler

• For formidlere: Håndhev alle åtte sikkerhetsregler som dekker autorisasjonskorrekthet og utførelsessikkerhet; aksepter aldri oppgjørsfeil som en grunn til å levere tjeneste; implementer signaturdeduplisering (nonce-sporing); avvis nullbeløpsbetalinger; generer kryptografisk signerte kvitteringer som kobler betaling txHash → tjenesteendepunkt → responshash for tvisteløsning .
• For selgere: Slipp aldri irreversible tjenester umiddelbart etter off-chain-verifisering alene; krev on-chain-oppgjørsbekreftelse før levering; revider ethvert referanseserver-sett for å sikre at oppgjørsfeil utløser en 402-respons, ikke tjenestelevering .
• For økosystemet: Ta i bruk standardiserte sikkerhetsinvariabler, automatisert black-box-testing (artikkelen introduserer X402SCOPE for dette formålet), og delte ansvarlighetslag for å redusere skadeomfanget av en enkelt formidlerfeil .