31 säkerhetsbrister upptäckta i 15 x402-betalningsförmedlare – varje system failade, även Coinbase

• Gratisshopping – Handlaren levererar en tjänst efter att off-chain-verifieringen lyckats, men on-chain-avräkningen misslyckas senare (eller en ogiltig/nollsummesignatur accepteras). Köparen får produkten utan att betala. Forskarna validerade direkt två gratisshoppingvägar och klassificerade ytterligare 10 som högrisk.
• Stöld av tillgångar – En angripare får kontroll över tillgångar som innehas av förmedlaren, till exempel genom att lura förmedlaren att godkänna godtyckliga tokenöverföringar.
• Tjänsteförnekelse – Återanvändning av betalning, återanvändning av signaturer eller skadliga nyttolaster gör att förmedlaren kraschar eller vägrar legitima transaktioner.
• Gasmissbruk – Angripare tvingar förmedlaren att betala för dyra smartkontraktsdistributioner eller upprepade on-chain-operationer, vilket gör avräkning till en obegränsad kostnadssänkning för sponsorn .

Allvarligaste bristen: ERC-6492-vägen

Den allvarligaste attackvägen involverade ERC-6492, en Ethereum-signaturstandard för smartkontrakts-plånböcker som kanske inte är utplacerad än. Forskarna fann att skadlig metadata kunde få en förmedlare att finansiera och skicka en godtycklig token-godkännandetransaktion istället för den förväntade betalningen . Forskarna flyttade inte förmedlarens medel själva men klassificerade felet som en direkt väg till stöld av tillgångar eftersom en angripare skulle kunna använda den auktoriteten för att godkänna överföringar av tillgångar som kontrolleras av förmedlaren.

Risk för handlare: Coinbases referensserverkit

Alla sju officiella Coinbase referensserverkit som undersöktes av forskarna saknade explicita mekanismer för att ångra åtgärder som vidtagits efter en lyckad verifiering . I versioner av Coinbases Flask-kit upp till 0.2.1 kunde skyddade resurser frigöras efter verifiering oavsett om den efterföljande avräkningen lyckades. Detta innebär att en handlare som använder dessa kit kunde lämna över en oåterkallelig tjänst – t.ex. ett API-svar eller en digital vara – medan betalningen aldrig slutförs on-chain.

Marknadskoncentration och nätverksavgifter

Studien analyserade över 119 miljoner x402-transaktioner på Base och Solana mellan 1 oktober och 26 december 2025 . Förmedlare spenderade tillsammans cirka 202 000 USD på nätverksavgifter, inklusive ungefär 5 800 USD på Base-transaktioner som slutligen återställdes eller misslyckades – vilket visar den ekonomiska asymmetrin där en förmedlare ådrar sig blockchain-kostnader även när en betalning aldrig slutförs . On-chain-mätningen kvantifierade ytterligare betydande centralisering av förmedlare, med Coinbases Base-förmedlare som dominerar ekosystemet i transaktionsvolym under studieperioden.

Åtgärdsstatus (per februari 2026)

Forskarna rapporterade ansvarsfullt alla fynd till de drabbade parterna . Coinbase, PayAI och Mogami bekräftade problemen och vidtog åtgärder, inklusive att patchade 6 sårbarheter i februari 2026 . Artikeln noterar att Coinbase gjorde specifika ändringar som svar på rapporten. Åtgärdsstatusen för andra förmedlare specificerades inte i tillgängliga källor.

Forskarnas rekommendationer

• För förmedlare: Verkställ alla åtta säkerhetsregler som täcker auktorisationskorrekthet och exekveringssäkerhet; acceptera aldrig avräkningsmisslyckande som en anledning att leverera tjänsten; implementera deduplicering av signaturer (nonce-spårning); avvisa nollsummebetalningar; generera kryptografiskt signerade kvitton som kopplar betalning txHash → tjänsteslutpunkt → svarshash för tvistlösning .
• För handlare: Släpp aldrig oåterkalleliga tjänster omedelbart efter enbart off-chain-verifiering; kräv on-chain-avräkningsbekräftelse före leverans; granska alla referensserverkit för att säkerställa att avräkningsmisslyckande utlöser ett 402-svar, inte tjänsteleverans .
• För ekosystemet: Anta standardiserade säkerhetsinvariabler, automatiserad black-box-testning (artikeln introducerar X402SCOPE för detta ändamål) och delade ansvarsskikt för att minska konsekvenserna av en enskild förmedlares fel .