x402 Ödeme Altyapısında Şok Güvenlik Zaafiyeti: 15 Sağlayıcının Tamamı Başarısız Oldu

• Ücretsiz Alışveriş (Free Shopping): Satıcı, zincir dışı doğrulama başarılı olduktan sonra hizmeti sunuyor, ancak zincir üzerindeki ödeme daha sonra başarısız oluyor (veya geçersiz/sıfır miktarlı bir imza kabul ediliyor). Alıcı, ürünü ödemeden alıyor. Araştırmacılar iki ücretsiz alışveriş yolunu doğrudan doğruladı ve 10 tanesini daha yüksek riskli olarak sınıflandırdı.
• Varlık Hırsızlığı (Asset Theft): Saldırgan, sağlayıcının elindeki varlıklar (tokenler) üzerinde kontrol sağlıyor. Örneğin, sağlayıcıyı rastgele token transferlerini onaylaması için kandırarak.
• Hizmet Reddi (Service Denial): Ödeme tekrarı (replay), imzanın yeniden kullanılması veya kötü niyetli veri yükleri (payloads) sağlayıcının çökmesine veya meşru işlemleri reddetmesine neden oluyor.
• Gaz Kötüye Kullanımı (Gas Abuse): Saldırgan, sağlayıcıyı pahalı akıllı sözleşme dağıtımları veya tekrarlanan zincir içi işlemler için ödeme yapmaya zorluyor. Bu, sağlayıcı için sınırsız bir maliyet havuzu oluşturuyor .

En Ciddi Açık: ERC-6492 Yolu

En ciddi saldırı yolu ERC-6492 ile ilgiliydi. ERC-6492, henüz dağıtılmamış olabilecek akıllı sözleşme cüzdanları için bir Ethereum imza standardı. Araştırmacılar, kötü niyetli meta verilerin, bir sağlayıcının beklenen ödemeyi göndermek yerine rastgele bir token onaylama işlemini finanse etmesine ve başlatmasına neden olabileceğini keşfetti . Araştırmacılar kendileri sağlayıcı fonlarını taşımadı, ancak bu açığı varlık hırsızlığına doğrudan bir yol olarak sınıflandırdı çünkü bir saldırgan bu yetkiyi, sağlayıcı tarafından kontrol edilen varlıkların transferlerini onaylamak için kullanabilirdi.

Satıcı Tarafındaki Risk: Coinbase Referans Sunucu Kitleri

Araştırmacılar tarafından incelenen Coinbase'in 7 resmi referans sunucu kiti (server kit) , başarılı bir doğrulama sonrasında yapılan işlemleri geri almak için açık bir mekanizmaya sahip değildi . Coinbase Flask kitinin 0.2.1 sürümüne kadar olan versiyonlarında, korumalı kaynaklar, müteakip ödemenin başarılı olup olmadığına bakılmaksızın doğrulamadan sonra serbest bırakılabiliyordu. Bu, bu kitleri kullanan bir satıcının, ödeme blockchain'de hiçbir zaman kesinleşmezken bile geri dönüşü olmayan bir hizmeti (örneğin bir API yanıtı veya dijital ürün) teslim edebileceği anlamına geliyor.

Pazar Yoğunlaşması ve Ağ Ücretleri

Çalışma, Base ve Solana ağları üzerinde 1 Ekim – 26 Aralık 2025 tarihleri arasında gerçekleşen 119 milyondan fazla x402 işlemini analiz etti . Sağlayıcılar toplamda yaklaşık 202.000 dolar ağ ücreti ödedi. Bunun yaklaşık 5.800 doları, Base ağında geri dönen (reverted) veya başarısız olan işlemler için harcandı . Bu, bir ödemenin hiçbir zaman tamamlanmamasına rağmen sağlayıcının blockchain maliyetlerine katlanmak zorunda kaldığı ekonomik asimetriyi gözler önüne seriyor. Zincir üzeri ölçümler ayrıca önemli bir sağlayıcı yoğunlaşmasını ortaya koydu: Çalışma döneminde işlem hacminde Coinbase'in Base sağlayıcısı ekosisteme hakimdi.

Düzeltme Durumu (Şubat 2026 itibarıyla)

Araştırmacılar tüm bulguları etkilenen taraflara sorumlu bir şekilde bildirdi . Coinbase, PayAI ve Mogami konuyu kabul etti ve Şubat 2026'da 6 güvenlik açığını gideren yamalar yayınladı . Raporda Coinbase'in bu ifşaya yanıt olarak belirli değişiklikler yaptığı belirtiliyor. Diğer sağlayıcıların düzeltme durumu hakkında mevcut kaynaklarda bilgi bulunmuyor.

Araştırmacıların Önerileri

• Sağlayıcılar (Facilitators) için: Yetkilendirme doğruluğunu ve yürütme güvenliğini kapsayan 8 güvenlik kuralının tamamını uygulayın; hizmet sunumu için ödemenin başarısız olmasını asla bahane olarak kabul etmeyin; imza tekrarını önleyin (nonce takibi); sıfır miktarlı ödemeleri reddedin; anlaşmazlık çözümü için ödeme txHash → hizmet uç noktası → yanıt hash'ini birbirine bağlayan kriptografik olarak imzalanmış makbuzlar oluşturun .
• Satıcılar (Merchants) için: Geri dönüşü olmayan hizmetleri asla sadece zincir dışı doğrulamadan hemen sonra sunmayın; teslimattan önce zincir üzerinde ödeme onayını bekleyin; ödeme başarısızlığının bir hizmet sunumuna değil, 402 yanıtına (Ödeme Gerekli) yol açtığından emin olmak için herhangi bir referans sunucu kitini denetleyin .
• Ekonomi (Ecosystem) için: Standartlaştırılmış güvenlik değişmezlerini (invariants), otomatik kara kutu testini (bu amaçla tanıtılan X402SCOPE aracı) ve tek bir sağlayıcıdaki hatanın etki alanını azaltmak için paylaşılmış hesap verebilirlik katmanlarını benimseyin .