Критичні вразливості в x402: під загрозою 99% криптоплатежів
Систематичний аналіз безпеки 15 платіжних посередників x402 виявив 31 різну вразливість та 49 порушень правил — кожен посередник не виконав щонайменше одне правило безпеки; це зачіпає 99% усіх спостережуваних транзакц... Дослідження, представлене на 35 му симпозіумі USENIX Security, проаналізувало понад 119 мільйоні...
ОпублікувавВідредаговано за допомогою DeepSeek-V4-FlashЗображення створено за допомогою GPT Image 1.5
Систематичний аналіз безпеки 15 платіжних посередників x402 виявив 31 різну вразливість та 49 порушень правил — кожен посередник не виконав щонайменше одне правило безпеки; це зачіпає 99% усіх спостережуваних транзакц...
Дослідження, представлене на 35 му симпозіумі USENIX Security, проаналізувало понад 119 мільйонів транзакцій x402 на блокчейнах Base та Solana.
Виявлено чотири вектори атак: «безкоштовний шопінг», крадіжка активів, відмова в обслуговуванні та зловживання газом.
Усі сім офіційних еталонних серверних наборів Coinbase не мали механізмів скасування дій після успішної верифікації, що наражає мерчантів на ризик безоплатної передачі товарів чи послуг.
What security vulnerabilities did researchers discover across 15 x402 payment facilitators (including Coinbase, Thirdweb, PayAI, and Mogami)Researchers found 31 security vulnerabilities across 15 x402 payment facilitators, with every tested system failing at least one security rule.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What security vulnerabilities did researchers discover across 15 x402 payment facilitators (including Coinbase, Thirdweb, PayAI, and Mogami). Article summary: ## Overview. Topic tags: general, academic, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Протокол x402 дозволяє програмним агентам оплачувати цифрові послуги криптовалютою за допомогою стандартної HTTP-відповіді 402. Однак нове академічне дослідження показує, що інфраструктура для обробки цих платежів є критично вразливою.
Дослідники з EPFL, Чжецзянського університету та незалежний дослідник представили перший систематичний аналіз безпеки платіжних посередників x402 на 35-му симпозіумі USENIX Security . Вони протестували 15 найбільших посередників, включаючи Coinbase, Thirdweb, PayAI та Mogami, і виявили, що кожен з них порушив щонайменше одне з восьми правил безпеки, що призвело до 49 порушень, згрупованих у 31 окрему вразливість. Ці посередники сукупно обробляють , обслуговуючи понад 60 000 продавців та 360 000 покупців .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Критичні вразливості в x402: під загрозою 99% криптоплатежів"?
Систематичний аналіз безпеки 15 платіжних посередників x402 виявив 31 різну вразливість та 49 порушень правил — кожен посередник не виконав щонайменше одне правило безпеки; це зачіпає 99% усіх спостережуваних транзакц...
What are the key points to validate first?
Систематичний аналіз безпеки 15 платіжних посередників x402 виявив 31 різну вразливість та 49 порушень правил — кожен посередник не виконав щонайменше одне правило безпеки; це зачіпає 99% усіх спостережуваних транзакц... Дослідження, представлене на 35 му симпозіумі USENIX Security, проаналізувало понад 119 мільйонів транзакцій x402 на блокчейнах Base та Solana.
What should I do next in practice?
Виявлено чотири вектори атак: «безкоштовний шопінг», крадіжка активів, відмова в обслуговуванні та зловживання газом.
Критичні вразливості в x402: під загрозою 99% криптоплатежів
Систематичний аналіз безпеки 15 платіжних посередників x402 виявив 31 різну вразливість та 49 порушень правил — кожен посередник не виконав щонайменше одне правило безпеки; це зачіпає 99% усіх спостережуваних транзакц... Дослідження, представлене на 35 му симпозіумі USENIX Security, проаналізувало понад 119 мільйоні...
ОпублікувавВідредаговано за допомогою DeepSeek-V4-FlashЗображення створено за допомогою GPT Image 1.5
Систематичний аналіз безпеки 15 платіжних посередників x402 виявив 31 різну вразливість та 49 порушень правил — кожен посередник не виконав щонайменше одне правило безпеки; це зачіпає 99% усіх спостережуваних транзакц...
Дослідження, представлене на 35 му симпозіумі USENIX Security, проаналізувало понад 119 мільйонів транзакцій x402 на блокчейнах Base та Solana.
Виявлено чотири вектори атак: «безкоштовний шопінг», крадіжка активів, відмова в обслуговуванні та зловживання газом.
Усі сім офіційних еталонних серверних наборів Coinbase не мали механізмів скасування дій після успішної верифікації, що наражає мерчантів на ризик безоплатної передачі товарів чи послуг.
What security vulnerabilities did researchers discover across 15 x402 payment facilitators (including Coinbase, Thirdweb, PayAI, and Mogami)Researchers found 31 security vulnerabilities across 15 x402 payment facilitators, with every tested system failing at least one security rule.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What security vulnerabilities did researchers discover across 15 x402 payment facilitators (including Coinbase, Thirdweb, PayAI, and Mogami). Article summary: ## Overview. Topic tags: general, academic, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Протокол x402 дозволяє програмним агентам оплачувати цифрові послуги криптовалютою за допомогою стандартної HTTP-відповіді 402. Однак нове академічне дослідження показує, що інфраструктура для обробки цих платежів є критично вразливою.
Дослідники з EPFL, Чжецзянського університету та незалежний дослідник представили перший систематичний аналіз безпеки платіжних посередників x402 на 35-му симпозіумі USENIX Security . Вони протестували 15 найбільших посередників, включаючи Coinbase, Thirdweb, PayAI та Mogami, і виявили, що кожен з них порушив щонайменше одне з восьми правил безпеки, що призвело до 49 порушень, згрупованих у 31 окрему вразливість. Ці посередники сукупно обробляють , обслуговуючи понад 60 000 продавців та 360 000 покупців .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Критичні вразливості в x402: під загрозою 99% криптоплатежів"?
Систематичний аналіз безпеки 15 платіжних посередників x402 виявив 31 різну вразливість та 49 порушень правил — кожен посередник не виконав щонайменше одне правило безпеки; це зачіпає 99% усіх спостережуваних транзакц...
What are the key points to validate first?
Систематичний аналіз безпеки 15 платіжних посередників x402 виявив 31 різну вразливість та 49 порушень правил — кожен посередник не виконав щонайменше одне правило безпеки; це зачіпає 99% усіх спостережуваних транзакц... Дослідження, представлене на 35 му симпозіумі USENIX Security, проаналізувало понад 119 мільйонів транзакцій x402 на блокчейнах Base та Solana.
What should I do next in practice?
Виявлено чотири вектори атак: «безкоштовний шопінг», крадіжка активів, відмова в обслуговуванні та зловживання газом.
99% спостережуваних транзакцій x402 та 98% платіжного обсягу
Чотири класи атак
Дослідники визначили чотири вектори атак, що випливають із порушень правил :
«Безкоштовний шопінг» (Free Shopping) – Мерчант надає послугу після успішної позаланцюгової верифікації, але ончейн-розрахунок згодом не вдається (або приймається недійсний/нульовий підпис). Покупець отримує товар без оплати. Дослідники безпосередньо підтвердили два шляхи «безкоштовного шопінгу» та класифікували ще 10 як високоризиковані.
Крадіжка активів (Asset Theft) – Зловмисник отримує контроль над активами, які утримує посередник, наприклад, обманом змушуючи посередника схвалити довільні перекази токенів.
Відмова в обслуговуванні (Service Denial) – Повторне відтворення платежу, повторне використання підпису або шкідливі дані спричиняють збій посередника або відмову в легітимних транзакціях.
Зловживання газом (Gas Abuse) – Зловмисники змушують посередника оплачувати дорогі розгортання смарт-контрактів або повторні ончейн-операції, перетворюючи розрахунки на безмежне джерело витрат для спонсора .
Найсерйозніша вразливість: ERC-6492
Найнебезпечніший шлях атаки був пов'язаний зі стандартом підпису ERC-6492 для смарт-контрактних гаманців, які ще можуть бути не розгорнуті. Дослідники виявили, що шкідливі метадані можуть змусити посередника профінансувати та подати довільну транзакцію на схвалення токенів замість очікуваного платежу. Дослідники не переміщували кошти посередників, але класифікували цю ваду як прямий шлях до крадіжки активів, оскільки зловмисник міг би використати ці повноваження для схвалення переказів активів, контрольованих посередником.
Ризик для мерчантів: еталонні серверні набори Coinbase
Усі сім офіційних серверних наборів Coinbase, які дослідили науковці, не мали явних механізмів для скасування дій, виконаних після успішної верифікації . У версіях набору Flask від Coinbase до 0.2.1 захищені ресурси могли бути надані після верифікації незалежно від того, чи був успішним подальший розрахунок. Це означає, що мерчанти, які використовують ці набори, могли передати незворотну послугу (наприклад, відповідь API або цифровий товар), у той час як платіж так і не завершувався ончейн.
Концентрація ринку та мережеві комісії
Дослідження проаналізувало понад 119 мільйонів транзакцій x402 на Base та Solana у період з 1 жовтня по 26 грудня 2025 року . Посередники сукупно витратили приблизно 202 000 доларів США на мережеві комісії, включаючи приблизно 5 800 доларів на транзакції в Base, які в кінцевому підсумку були скасовані або завершилися невдачею – це демонструє економічну асиметрію, за якої посередник несе витрати на блокчейн, навіть коли платіж ніколи не завершується . Ончейн-вимірювання також виявило значну централізацію посередників: посередник Coinbase на Base домінував в екосистемі за обсягом транзакцій протягом періоду дослідження.
Статус виправлень (станом на лютий 2026 року)
Дослідники відповідально розкрили всі знахідки постраждалим сторонам . Coinbase, PayAI та Mogami визнали проблеми та впровадили заходи пом'якшення, усунувши 6 вразливостей у лютому 2026 року. У статті зазначається, що Coinbase внесла конкретні зміни у відповідь на розкриття інформації. Статус виправлення інших посередників у доступних джерелах не вказано.
Рекомендації дослідників
Для посередників: дотримуватися всіх восьми правил безпеки щодо коректності авторизації та безпеки виконання; ніколи не приймати невдачу розрахунку як підставу для надання послуги; впровадити дедуплікацію підписів (відстеження nonce); відхиляти платежі з нульовою сумою; генерувати криптографічно підписані квитанції, що зв'язують txHash платежу → endpoint послуги → хеш відповіді для вирішення спорів .
Для мерчантів: ніколи не надавати незворотні послуги одразу після позаланцюгової верифікації; вимагати підтвердження ончейн-розрахунку перед наданням послуги; перевіряти будь-який еталонний серверний набір, щоб переконатися, що невдача розрахунку призводить до відповіді 402, а не до надання послуги .
Для екосистеми: прийняти стандартизовані інваріанти безпеки, автоматизоване тестування «чорної скриньки» (стаття представляє X402SCOPE для цієї мети) та спільні рівні підзвітності, щоб зменшити радіус ураження будь-якої окремої вразливості посередника .
99% спостережуваних транзакцій x402 та 98% платіжного обсягу
Чотири класи атак
Дослідники визначили чотири вектори атак, що випливають із порушень правил :
«Безкоштовний шопінг» (Free Shopping) – Мерчант надає послугу після успішної позаланцюгової верифікації, але ончейн-розрахунок згодом не вдається (або приймається недійсний/нульовий підпис). Покупець отримує товар без оплати. Дослідники безпосередньо підтвердили два шляхи «безкоштовного шопінгу» та класифікували ще 10 як високоризиковані.
Крадіжка активів (Asset Theft) – Зловмисник отримує контроль над активами, які утримує посередник, наприклад, обманом змушуючи посередника схвалити довільні перекази токенів.
Відмова в обслуговуванні (Service Denial) – Повторне відтворення платежу, повторне використання підпису або шкідливі дані спричиняють збій посередника або відмову в легітимних транзакціях.
Зловживання газом (Gas Abuse) – Зловмисники змушують посередника оплачувати дорогі розгортання смарт-контрактів або повторні ончейн-операції, перетворюючи розрахунки на безмежне джерело витрат для спонсора .
Найсерйозніша вразливість: ERC-6492
Найнебезпечніший шлях атаки був пов'язаний зі стандартом підпису ERC-6492 для смарт-контрактних гаманців, які ще можуть бути не розгорнуті. Дослідники виявили, що шкідливі метадані можуть змусити посередника профінансувати та подати довільну транзакцію на схвалення токенів замість очікуваного платежу. Дослідники не переміщували кошти посередників, але класифікували цю ваду як прямий шлях до крадіжки активів, оскільки зловмисник міг би використати ці повноваження для схвалення переказів активів, контрольованих посередником.
Ризик для мерчантів: еталонні серверні набори Coinbase
Усі сім офіційних серверних наборів Coinbase, які дослідили науковці, не мали явних механізмів для скасування дій, виконаних після успішної верифікації . У версіях набору Flask від Coinbase до 0.2.1 захищені ресурси могли бути надані після верифікації незалежно від того, чи був успішним подальший розрахунок. Це означає, що мерчанти, які використовують ці набори, могли передати незворотну послугу (наприклад, відповідь API або цифровий товар), у той час як платіж так і не завершувався ончейн.
Концентрація ринку та мережеві комісії
Дослідження проаналізувало понад 119 мільйонів транзакцій x402 на Base та Solana у період з 1 жовтня по 26 грудня 2025 року . Посередники сукупно витратили приблизно 202 000 доларів США на мережеві комісії, включаючи приблизно 5 800 доларів на транзакції в Base, які в кінцевому підсумку були скасовані або завершилися невдачею – це демонструє економічну асиметрію, за якої посередник несе витрати на блокчейн, навіть коли платіж ніколи не завершується . Ончейн-вимірювання також виявило значну централізацію посередників: посередник Coinbase на Base домінував в екосистемі за обсягом транзакцій протягом періоду дослідження.
Статус виправлень (станом на лютий 2026 року)
Дослідники відповідально розкрили всі знахідки постраждалим сторонам . Coinbase, PayAI та Mogami визнали проблеми та впровадили заходи пом'якшення, усунувши 6 вразливостей у лютому 2026 року. У статті зазначається, що Coinbase внесла конкретні зміни у відповідь на розкриття інформації. Статус виправлення інших посередників у доступних джерелах не вказано.
Рекомендації дослідників
Для посередників: дотримуватися всіх восьми правил безпеки щодо коректності авторизації та безпеки виконання; ніколи не приймати невдачу розрахунку як підставу для надання послуги; впровадити дедуплікацію підписів (відстеження nonce); відхиляти платежі з нульовою сумою; генерувати криптографічно підписані квитанції, що зв'язують txHash платежу → endpoint послуги → хеш відповіді для вирішення спорів .
Для мерчантів: ніколи не надавати незворотні послуги одразу після позаланцюгової верифікації; вимагати підтвердження ончейн-розрахунку перед наданням послуги; перевіряти будь-який еталонний серверний набір, щоб переконатися, що невдача розрахунку призводить до відповіді 402, а не до надання послуги .
Для екосистеми: прийняти стандартизовані інваріанти безпеки, автоматизоване тестування «чорної скриньки» (стаття представляє X402SCOPE для цієї мети) та спільні рівні підзвітності, щоб зменшити радіус ураження будь-якої окремої вразливості посередника .
arxiv.orgWhen HTTP 402 Meets the Blockchain: Risks on Emerging x402 ...
bitget.com31 Security Flaws Expose 99% of x402 Crypto Payments to ...
cryptorank.io31 Security Flaws Expose 99% of x402 Crypto Payments to ...
research.4pillars.iox402에는 ‘중앙화된 책임’이 필요하다.