31 lỗ hổng bảo mật trên 15 nền tảng thanh toán x402: Toàn bộ hệ thống đều thất bại — bao gồm cả Coinbase

Giao thức thanh toán x402 cho phép các tác nhân máy (machine agents) thanh toán cho dịch vụ kỹ thuật số bằng tiền điện tử thông qua phản hồi HTTP 402 tiêu chuẩn. Nhưng một nghiên cứu học thuật mới tiết lộ rằng cơ sở hạ tầng xử lý các khoản thanh toán đó đang bị phá vỡ nghiêm trọng.

Các nhà nghiên cứu từ EPFL, Đại học Chiết Giang và một nhà nghiên cứu độc lập đã trình bày phân tích bảo mật có hệ thống đầu tiên về các nền tảng thanh toán x402 tại Hội nghị Bảo mật USENIX lần thứ 35 . Họ đã kiểm tra 15 nền tảng lớn — bao gồm Coinbase, Thirdweb, PayAI và Mogami — và phát hiện ra rằng mọi nền tảng đều vi phạm ít nhất một trong tám quy tắc bảo mật, với 49 vi phạm quy tắc được ánh xạ thành 31 lỗ hổng riêng biệt . Các nền tảng bị ảnh hưởng này xử lý chung 99% giao dịch x402 được quan sát và 98% khối lượng thanh toán, phục vụ hơn 60.000 người bán và 360.000 người mua .

Bốn lớp tấn công

Các nhà nghiên cứu đã xác định bốn vector tấn công từ các vi phạm quy tắc :

• Mua sắm Miễn phí (Free Shopping) – Người bán cung cấp dịch vụ sau khi xác minh ngoài chuỗi (off-chain) thành công, nhưng việc thanh toán trên chuỗi (on-chain) sau đó thất bại (hoặc chấp nhận chữ ký không hợp lệ/không có giá trị). Người mua nhận được sản phẩm mà không phải trả tiền. Các nhà nghiên cứu đã trực tiếp xác thực hai đường dẫn mua sắm miễn phí và phân loại 10 đường dẫn khác là có rủi ro cao.
• Đánh cắp Tài sản (Asset Theft) – Kẻ tấn công giành quyền kiểm soát tài sản do nền tảng nắm giữ, chẳng hạn như bằng cách lừa nền tảng phê duyệt chuyển token tùy ý.
• Từ chối Dịch vụ (Service Denial) – Phát lại thanh toán, sử dụng lại chữ ký hoặc tải trọng độc hại khiến nền tảng bị sập hoặc từ chối các giao dịch hợp pháp.
• Lạm dụng Gas (Gas Abuse) – Kẻ tấn công buộc nền tảng phải trả tiền cho các hoạt động triển khai hợp đồng thông minh đắt đỏ hoặc các hoạt động trên chuỗi lặp đi lặp lại, biến việc thanh toán thành một hố chi phí vô hạn cho nhà tài trợ .

Lỗ hổng nghiêm trọng nhất: Đường dẫn ERC-6492

Đường dẫn tấn công nghiêm trọng nhất liên quan đến ERC-6492, một tiêu chuẩn chữ ký Ethereum dành cho ví hợp đồng thông minh có thể chưa được triển khai. Các nhà nghiên cứu phát hiện ra rằng dữ liệu siêu dữ liệu độc hại có thể khiến nền tảng tài trợ và gửi một giao dịch phê duyệt token tùy ý thay vì thanh toán dự kiến . Các nhà nghiên cứu đã không tự mình di chuyển tiền của nền tảng nhưng phân loại lỗ hổng này là một con đường trực tiếp dẫn đến đánh cắp tài sản vì kẻ tấn công có thể sử dụng quyền đó để phê duyệt việc chuyển tài sản do nền tảng kiểm soát.

Rủi ro phía người bán: Bộ công cụ máy chủ tham chiếu của Coinbase

Tất cả bảy bộ công cụ máy chủ tham chiếu chính thức của Coinbase được các nhà nghiên cứu kiểm tra đều thiếu cơ chế rõ ràng để đảo ngược các hành động được thực hiện sau khi xác minh thành công . Trong các phiên bản của bộ công cụ Flask của Coinbase đến 0.2.1, các tài nguyên được bảo vệ có thể được giải phóng sau khi xác minh bất kể lần thanh toán tiếp theo có thành công hay không. Điều này có nghĩa là người bán sử dụng các bộ công cụ đó có thể cung cấp một dịch vụ không thể đảo ngược — ví dụ: phản hồi API hoặc hàng hóa kỹ thuật số — trong khi khoản thanh toán không bao giờ được hoàn tất trên chuỗi.

Tập trung thị trường và Phí mạng

Nghiên cứu đã phân tích hơn 119 triệu giao dịch x402 trên Base và Solana từ ngày 1 tháng 10 đến ngày 26 tháng 12 năm 2025 . Các nền tảng đã chi tổng cộng khoảng 202.000 đô la Mỹ cho phí mạng, bao gồm khoảng 5.800 đô la Mỹ cho các giao dịch Base cuối cùng bị hoàn lại hoặc thất bại — chứng minh sự bất đối xứng kinh tế khi nền tảng phải chịu chi phí blockchain ngay cả khi thanh toán không bao giờ hoàn tất . Phép đo trên chuỗi cũng định lượng sự tập trung hóa nền tảng đáng kể, với nền tảng Base của Coinbase thống trị hệ sinh thái về khối lượng giao dịch trong thời gian nghiên cứu.

Tình trạng khắc phục (tính đến tháng 2 năm 2026)

Các nhà nghiên cứu đã tiết lộ một cách có trách nhiệm tất cả các phát hiện cho các bên bị ảnh hưởng . Coinbase, PayAI và Mogami đã xác nhận các vấn đề và áp dụng các biện pháp giảm thiểu, bao gồm việc vá 6 lỗ hổng vào tháng 2 năm 2026 . Bài báo lưu ý rằng Coinbase đã thực hiện các thay đổi cụ thể để đáp ứng với việc tiết lộ. Tình trạng khắc phục của các nền tảng khác không được chỉ định trong các nguồn có sẵn.

Khuyến nghị của các nhà nghiên cứu

• Đối với nền tảng (facilitators): Thực thi tất cả tám quy tắc bảo mật bao gồm tính đúng đắn của ủy quyền và an toàn thực thi; không bao giờ chấp nhận thất bại thanh toán như một lý do để cung cấp dịch vụ; triển khai khử trùng lặp chữ ký (theo dõi nonce); từ chối thanh toán số tiền bằng không; tạo biên lai có chữ ký điện tử liên kết txHash thanh toán → điểm cuối dịch vụ → hàm băm phản hồi để giải quyết tranh chấp .
• Đối với người bán (merchants): Không bao giờ giải phóng các dịch vụ không thể đảo ngược ngay sau khi xác minh ngoài chuỗi một mình; yêu cầu xác nhận thanh toán trên chuỗi trước khi giao hàng; kiểm tra bất kỳ bộ công cụ máy chủ tham chiếu nào để đảm bảo rằng việc thanh toán thất bại sẽ kích hoạt phản hồi 402, không phải cung cấp dịch vụ .
• Đối với hệ sinh thái: Áp dụng các bất biến bảo mật được tiêu chuẩn hóa, kiểm tra hộp đen tự động (bài báo giới thiệu X402SCOPE cho mục đích này) và các lớp trách nhiệm giải trình được chia sẻ để giảm bán kính vụ nổ của bất kỳ lỗ hổng nền tảng đơn lẻ nào .