Критичні вразливості в x402: під загрозою 99% криптоплатежів

• «Безкоштовний шопінг» (Free Shopping) – Мерчант надає послугу після успішної позаланцюгової верифікації, але ончейн-розрахунок згодом не вдається (або приймається недійсний/нульовий підпис). Покупець отримує товар без оплати. Дослідники безпосередньо підтвердили два шляхи «безкоштовного шопінгу» та класифікували ще 10 як високоризиковані.
• Крадіжка активів (Asset Theft) – Зловмисник отримує контроль над активами, які утримує посередник, наприклад, обманом змушуючи посередника схвалити довільні перекази токенів.
• Відмова в обслуговуванні (Service Denial) – Повторне відтворення платежу, повторне використання підпису або шкідливі дані спричиняють збій посередника або відмову в легітимних транзакціях.
• Зловживання газом (Gas Abuse) – Зловмисники змушують посередника оплачувати дорогі розгортання смарт-контрактів або повторні ончейн-операції, перетворюючи розрахунки на безмежне джерело витрат для спонсора .

Найсерйозніша вразливість: ERC-6492

Найнебезпечніший шлях атаки був пов'язаний зі стандартом підпису ERC-6492 для смарт-контрактних гаманців, які ще можуть бути не розгорнуті. Дослідники виявили, що шкідливі метадані можуть змусити посередника профінансувати та подати довільну транзакцію на схвалення токенів замість очікуваного платежу . Дослідники не переміщували кошти посередників, але класифікували цю ваду як прямий шлях до крадіжки активів, оскільки зловмисник міг би використати ці повноваження для схвалення переказів активів, контрольованих посередником.

Ризик для мерчантів: еталонні серверні набори Coinbase

Усі сім офіційних серверних наборів Coinbase, які дослідили науковці, не мали явних механізмів для скасування дій, виконаних після успішної верифікації . У версіях набору Flask від Coinbase до 0.2.1 захищені ресурси могли бути надані після верифікації незалежно від того, чи був успішним подальший розрахунок. Це означає, що мерчанти, які використовують ці набори, могли передати незворотну послугу (наприклад, відповідь API або цифровий товар), у той час як платіж так і не завершувався ончейн.

Концентрація ринку та мережеві комісії

Дослідження проаналізувало понад 119 мільйонів транзакцій x402 на Base та Solana у період з 1 жовтня по 26 грудня 2025 року . Посередники сукупно витратили приблизно 202 000 доларів США на мережеві комісії, включаючи приблизно 5 800 доларів на транзакції в Base, які в кінцевому підсумку були скасовані або завершилися невдачею – це демонструє економічну асиметрію, за якої посередник несе витрати на блокчейн, навіть коли платіж ніколи не завершується . Ончейн-вимірювання також виявило значну централізацію посередників: посередник Coinbase на Base домінував в екосистемі за обсягом транзакцій протягом періоду дослідження.

Статус виправлень (станом на лютий 2026 року)

Дослідники відповідально розкрили всі знахідки постраждалим сторонам . Coinbase, PayAI та Mogami визнали проблеми та впровадили заходи пом'якшення, усунувши 6 вразливостей у лютому 2026 року . У статті зазначається, що Coinbase внесла конкретні зміни у відповідь на розкриття інформації. Статус виправлення інших посередників у доступних джерелах не вказано.

Рекомендації дослідників

• Для посередників: дотримуватися всіх восьми правил безпеки щодо коректності авторизації та безпеки виконання; ніколи не приймати невдачу розрахунку як підставу для надання послуги; впровадити дедуплікацію підписів (відстеження nonce); відхиляти платежі з нульовою сумою; генерувати криптографічно підписані квитанції, що зв'язують txHash платежу → endpoint послуги → хеш відповіді для вирішення спорів .
• Для мерчантів: ніколи не надавати незворотні послуги одразу після позаланцюгової верифікації; вимагати підтвердження ончейн-розрахунку перед наданням послуги; перевіряти будь-який еталонний серверний набір, щоб переконатися, що невдача розрахунку призводить до відповіді 402, а не до надання послуги .
• Для екосистеми: прийняти стандартизовані інваріанти безпеки, автоматизоване тестування «чорної скриньки» (стаття представляє X402SCOPE для цієї мети) та спільні рівні підзвітності, щоб зменшити радіус ураження будь-якої окремої вразливості посередника .