15 家 x402 支付服务商全数沦陷：31 个安全漏洞曝光，Coinbase 也未能幸免

最严重的漏洞：ERC-6492 路径

最严重的攻击路径涉及 ERC-6492，这是一个用于可能尚未部署的智能合约钱包的以太坊签名标准。研究人员发现，恶意元数据可能导致服务商出资并提交一笔任意的代币授权交易，而非预期的支付交易 。研究人员并未实际移动服务商的资金，但他们将此漏洞归类为直接导致资产盗窃的路径，因为攻击者可以利用该权限授权转移服务商控制的资产。

商户端风险：Coinbase 参考服务器工具包

研究人员审查的 所有七个 Coinbase 官方参考服务器工具包 均缺乏明确的机制来撤销验证成功后采取的行动 。在 0.2.1 版本之前的 Coinbase Flask 工具包中，受保护的资源可能在验证后即被释放，无论后续结算是否成功。这意味着使用这些工具包的商户可能在付款最终链上确认之前，就已交付了不可逆的服务——例如 API 响应或数字商品。

市场集中度与网络费用

该研究分析了 2025 年 10 月 1 日至 12 月 26 日期间，Base 和 Solana 链上超过 1.19 亿笔 x402 交易 。服务商在网络费用上总共花费了约 20.2 万美元，其中包括约 5,800 美元用于 Base 链上最终被撤销或失败的交易 —— 这凸显了一种经济不对称性：即使付款从未完成，服务商仍需承担区块链成本 。链上数据进一步揭示了 显著的服务商集中化，研究期间，Coinbase 的 Base 服务商 在交易量上主导了整个生态系统 。

修复状态（截至 2026 年 2 月）

研究人员已向所有受影响方 负责任地披露 了所有发现 。Coinbase、PayAI 和 Mogami 承认了这些问题并采取了缓解措施，包括在 2026 年 2 月修补了 6 个漏洞 。该论文提到，Coinbase 已根据披露信息进行了特定修改。其他服务商的修复状态在现有资料中未予说明。

研究人员的建议

• 对服务商的建议：强制执行涵盖授权正确性和执行安全性的全部八条安全规则；绝不以结算失败为由交付服务；实施签名去重（Nonce 追踪）；拒绝零金额支付；生成将支付交易哈希链接到服务端点再链接到响应哈希的加密签名收据，用于争议解决 。
• 对商户的建议：绝不可仅依靠链下验证就立即交付不可逆服务；在交付前要求链上结算确认；审计任何参考服务器工具包，确保结算失败能触发 402 响应，而不是交付服务 。
• 对生态系统的建议：采用标准化的安全不变性、自动化黑盒测试（论文为此引入了 X402SCOPE 工具），以及共享责任层，以降低单个服务商缺陷的影响范围 。