Bốn lớp tấn công

Các nhà nghiên cứu đã xác định bốn vector tấn công từ các vi phạm quy tắc :

• Mua sắm Miễn phí (Free Shopping) – Người bán cung cấp dịch vụ sau khi xác minh ngoài chuỗi (off-chain) thành công, nhưng việc thanh toán trên chuỗi (on-chain) sau đó thất bại (hoặc chấp nhận chữ ký không hợp lệ/không có giá trị). Người mua nhận được sản phẩm mà không phải trả tiền. Các nhà nghiên cứu đã trực tiếp xác thực hai đường dẫn mua sắm miễn phí và phân loại 10 đường dẫn khác là có rủi ro cao.
• Đánh cắp Tài sản (Asset Theft) – Kẻ tấn công giành quyền kiểm soát tài sản do nền tảng nắm giữ, chẳng hạn như bằng cách lừa nền tảng phê duyệt chuyển token tùy ý.
• Từ chối Dịch vụ (Service Denial) – Phát lại thanh toán, sử dụng lại chữ ký hoặc tải trọng độc hại khiến nền tảng bị sập hoặc từ chối các giao dịch hợp pháp.
• Lạm dụng Gas (Gas Abuse) – Kẻ tấn công buộc nền tảng phải trả tiền cho các hoạt động triển khai hợp đồng thông minh đắt đỏ hoặc các hoạt động trên chuỗi lặp đi lặp lại, biến việc thanh toán thành một hố chi phí vô hạn cho nhà tài trợ .

Lỗ hổng nghiêm trọng nhất: Đường dẫn ERC-6492

Đường dẫn tấn công nghiêm trọng nhất liên quan đến ERC-6492, một tiêu chuẩn chữ ký Ethereum dành cho ví hợp đồng thông minh có thể chưa được triển khai. Các nhà nghiên cứu phát hiện ra rằng dữ liệu siêu dữ liệu độc hại có thể khiến nền tảng tài trợ và gửi một giao dịch phê duyệt token tùy ý thay vì thanh toán dự kiến . Các nhà nghiên cứu đã không tự mình di chuyển tiền của nền tảng nhưng phân loại lỗ hổng này là một con đường trực tiếp dẫn đến đánh cắp tài sản vì kẻ tấn công có thể sử dụng quyền đó để phê duyệt việc chuyển tài sản do nền tảng kiểm soát.

Rủi ro phía người bán: Bộ công cụ máy chủ tham chiếu của Coinbase

Tất cả bảy bộ công cụ máy chủ tham chiếu chính thức của Coinbase được các nhà nghiên cứu kiểm tra đều thiếu cơ chế rõ ràng để đảo ngược các hành động được thực hiện sau khi xác minh thành công . Trong các phiên bản của bộ công cụ Flask của Coinbase đến 0.2.1, các tài nguyên được bảo vệ có thể được giải phóng sau khi xác minh bất kể lần thanh toán tiếp theo có thành công hay không. Điều này có nghĩa là người bán sử dụng các bộ công cụ đó có thể cung cấp một dịch vụ không thể đảo ngược — ví dụ: phản hồi API hoặc hàng hóa kỹ thuật số — trong khi khoản thanh toán không bao giờ được hoàn tất trên chuỗi.

Tập trung thị trường và Phí mạng

Nghiên cứu đã phân tích hơn 119 triệu giao dịch x402 trên Base và Solana từ ngày 1 tháng 10 đến ngày 26 tháng 12 năm 2025 . Các nền tảng đã chi tổng cộng khoảng 202.000 đô la Mỹ cho phí mạng, bao gồm khoảng 5.800 đô la Mỹ cho các giao dịch Base cuối cùng bị hoàn lại hoặc thất bại — chứng minh sự bất đối xứng kinh tế khi nền tảng phải chịu chi phí blockchain ngay cả khi thanh toán không bao giờ hoàn tất . Phép đo trên chuỗi cũng định lượng sự tập trung hóa nền tảng đáng kể, với nền tảng Base của Coinbase thống trị hệ sinh thái về khối lượng giao dịch trong thời gian nghiên cứu.

Tình trạng khắc phục (tính đến tháng 2 năm 2026)

Các nhà nghiên cứu đã tiết lộ một cách có trách nhiệm tất cả các phát hiện cho các bên bị ảnh hưởng . Coinbase, PayAI và Mogami đã xác nhận các vấn đề và áp dụng các biện pháp giảm thiểu, bao gồm việc vá 6 lỗ hổng vào tháng 2 năm 2026 . Bài báo lưu ý rằng Coinbase đã thực hiện các thay đổi cụ thể để đáp ứng với việc tiết lộ. Tình trạng khắc phục của các nền tảng khác không được chỉ định trong các nguồn có sẵn.

Khuyến nghị của các nhà nghiên cứu

• Đối với nền tảng (facilitators): Thực thi tất cả tám quy tắc bảo mật bao gồm tính đúng đắn của ủy quyền và an toàn thực thi; không bao giờ chấp nhận thất bại thanh toán như một lý do để cung cấp dịch vụ; triển khai khử trùng lặp chữ ký (theo dõi nonce); từ chối thanh toán số tiền bằng không; tạo biên lai có chữ ký điện tử liên kết txHash thanh toán → điểm cuối dịch vụ → hàm băm phản hồi để giải quyết tranh chấp .
• Đối với người bán (merchants): Không bao giờ giải phóng các dịch vụ không thể đảo ngược ngay sau khi xác minh ngoài chuỗi một mình; yêu cầu xác nhận thanh toán trên chuỗi trước khi giao hàng; kiểm tra bất kỳ bộ công cụ máy chủ tham chiếu nào để đảm bảo rằng việc thanh toán thất bại sẽ kích hoạt phản hồi 402, không phải cung cấp dịch vụ .
• Đối với hệ sinh thái: Áp dụng các bất biến bảo mật được tiêu chuẩn hóa, kiểm tra hộp đen tự động (bài báo giới thiệu X402SCOPE cho mục đích này) và các lớp trách nhiệm giải trình được chia sẻ để giảm bán kính vụ nổ của bất kỳ lỗ hổng nền tảng đơn lẻ nào .

Bốn lớp tấn công

Các nhà nghiên cứu đã xác định bốn vector tấn công từ các vi phạm quy tắc :

• Mua sắm Miễn phí (Free Shopping) – Người bán cung cấp dịch vụ sau khi xác minh ngoài chuỗi (off-chain) thành công, nhưng việc thanh toán trên chuỗi (on-chain) sau đó thất bại (hoặc chấp nhận chữ ký không hợp lệ/không có giá trị). Người mua nhận được sản phẩm mà không phải trả tiền. Các nhà nghiên cứu đã trực tiếp xác thực hai đường dẫn mua sắm miễn phí và phân loại 10 đường dẫn khác là có rủi ro cao.
• Đánh cắp Tài sản (Asset Theft) – Kẻ tấn công giành quyền kiểm soát tài sản do nền tảng nắm giữ, chẳng hạn như bằng cách lừa nền tảng phê duyệt chuyển token tùy ý.
• Từ chối Dịch vụ (Service Denial) – Phát lại thanh toán, sử dụng lại chữ ký hoặc tải trọng độc hại khiến nền tảng bị sập hoặc từ chối các giao dịch hợp pháp.
• Lạm dụng Gas (Gas Abuse) – Kẻ tấn công buộc nền tảng phải trả tiền cho các hoạt động triển khai hợp đồng thông minh đắt đỏ hoặc các hoạt động trên chuỗi lặp đi lặp lại, biến việc thanh toán thành một hố chi phí vô hạn cho nhà tài trợ .

Lỗ hổng nghiêm trọng nhất: Đường dẫn ERC-6492

Đường dẫn tấn công nghiêm trọng nhất liên quan đến ERC-6492, một tiêu chuẩn chữ ký Ethereum dành cho ví hợp đồng thông minh có thể chưa được triển khai. Các nhà nghiên cứu phát hiện ra rằng dữ liệu siêu dữ liệu độc hại có thể khiến nền tảng tài trợ và gửi một giao dịch phê duyệt token tùy ý thay vì thanh toán dự kiến . Các nhà nghiên cứu đã không tự mình di chuyển tiền của nền tảng nhưng phân loại lỗ hổng này là một con đường trực tiếp dẫn đến đánh cắp tài sản vì kẻ tấn công có thể sử dụng quyền đó để phê duyệt việc chuyển tài sản do nền tảng kiểm soát.

Rủi ro phía người bán: Bộ công cụ máy chủ tham chiếu của Coinbase

Tất cả bảy bộ công cụ máy chủ tham chiếu chính thức của Coinbase được các nhà nghiên cứu kiểm tra đều thiếu cơ chế rõ ràng để đảo ngược các hành động được thực hiện sau khi xác minh thành công . Trong các phiên bản của bộ công cụ Flask của Coinbase đến 0.2.1, các tài nguyên được bảo vệ có thể được giải phóng sau khi xác minh bất kể lần thanh toán tiếp theo có thành công hay không. Điều này có nghĩa là người bán sử dụng các bộ công cụ đó có thể cung cấp một dịch vụ không thể đảo ngược — ví dụ: phản hồi API hoặc hàng hóa kỹ thuật số — trong khi khoản thanh toán không bao giờ được hoàn tất trên chuỗi.

Tập trung thị trường và Phí mạng

Nghiên cứu đã phân tích hơn 119 triệu giao dịch x402 trên Base và Solana từ ngày 1 tháng 10 đến ngày 26 tháng 12 năm 2025 . Các nền tảng đã chi tổng cộng khoảng 202.000 đô la Mỹ cho phí mạng, bao gồm khoảng 5.800 đô la Mỹ cho các giao dịch Base cuối cùng bị hoàn lại hoặc thất bại — chứng minh sự bất đối xứng kinh tế khi nền tảng phải chịu chi phí blockchain ngay cả khi thanh toán không bao giờ hoàn tất . Phép đo trên chuỗi cũng định lượng sự tập trung hóa nền tảng đáng kể, với nền tảng Base của Coinbase thống trị hệ sinh thái về khối lượng giao dịch trong thời gian nghiên cứu.

Tình trạng khắc phục (tính đến tháng 2 năm 2026)

Các nhà nghiên cứu đã tiết lộ một cách có trách nhiệm tất cả các phát hiện cho các bên bị ảnh hưởng . Coinbase, PayAI và Mogami đã xác nhận các vấn đề và áp dụng các biện pháp giảm thiểu, bao gồm việc vá 6 lỗ hổng vào tháng 2 năm 2026 . Bài báo lưu ý rằng Coinbase đã thực hiện các thay đổi cụ thể để đáp ứng với việc tiết lộ. Tình trạng khắc phục của các nền tảng khác không được chỉ định trong các nguồn có sẵn.

Khuyến nghị của các nhà nghiên cứu

• Đối với nền tảng (facilitators): Thực thi tất cả tám quy tắc bảo mật bao gồm tính đúng đắn của ủy quyền và an toàn thực thi; không bao giờ chấp nhận thất bại thanh toán như một lý do để cung cấp dịch vụ; triển khai khử trùng lặp chữ ký (theo dõi nonce); từ chối thanh toán số tiền bằng không; tạo biên lai có chữ ký điện tử liên kết txHash thanh toán → điểm cuối dịch vụ → hàm băm phản hồi để giải quyết tranh chấp .
• Đối với người bán (merchants): Không bao giờ giải phóng các dịch vụ không thể đảo ngược ngay sau khi xác minh ngoài chuỗi một mình; yêu cầu xác nhận thanh toán trên chuỗi trước khi giao hàng; kiểm tra bất kỳ bộ công cụ máy chủ tham chiếu nào để đảm bảo rằng việc thanh toán thất bại sẽ kích hoạt phản hồi 402, không phải cung cấp dịch vụ .
• Đối với hệ sinh thái: Áp dụng các bất biến bảo mật được tiêu chuẩn hóa, kiểm tra hộp đen tự động (bài báo giới thiệu X402SCOPE cho mục đích này) và các lớp trách nhiệm giải trình được chia sẻ để giảm bán kính vụ nổ của bất kỳ lỗ hổng nền tảng đơn lẻ nào .