31 個安全漏洞現身 15 家 x402 支付服務商：Coinbase 等所有系統均未過關

x402 支付協定允許機器代理透過標準 HTTP 402 回應，以加密貨幣支付數位服務。然而，一項最新學術研究揭露，處理這些支付的基礎設施存在嚴重安全漏洞。

來自 EPFL（瑞士洛桑聯邦理工學院）、浙江大學 以及一名獨立研究人員，在第 35 屆 USENIX Security 研討會上發表了首份針對 x402 支付服務商的系統性安全分析報告 。他們測試了 Coinbase、Thirdweb、PayAI 與 Mogami 等 15 家主要服務商，發現 每一家都至少違反了八條安全規則中的一條，總計 49 項規則違規，對應到 31 個不同的安全漏洞 。這些受影響的服務商 collectively 處理了 99% 的 x402 交易與 98% 的支付流量，服務超過 6 萬名賣家與 36 萬名買家 。

四大攻擊類型

研究人員根據規則違規推導出四種攻擊向量 ：

• 免費購物（Free Shopping） – 商家在鏈下驗證成功後便交付服務，但後續的鏈上結算失敗（或接受了無效/零金額簽名）。買家無需付費即可獲得商品。研究人員直接驗證了 兩個 免費購物路徑，並將另外 10 個 歸類為高風險。
• 資產盜竊（Asset Theft） – 攻擊者取得服務商持有資產的控制權，例如誘騙服務商批准任意的代幣轉移。
• 服務阻斷（Service Denial） – 透過重播付款、重複使用簽名或惡意 payload，導致服務商崩潰或拒絕合法交易。
• Gas 濫用（Gas Abuse） – 攻擊者迫使服務商支付昂貴的智慧合約部署或重複的鏈上操作，使結算成為贊助商無底洞般的成本負擔 。

最嚴重的漏洞：ERC-6492 路徑

最嚴重的攻擊路徑涉及 ERC-6492，這是以太坊上針對尚未部署之智慧合約錢包的簽名標準。研究人員發現，惡意元數據可能導致服務商資助並提交一筆任意的代幣授權交易，而非預期的付款 。研究人員並未實際移動服務商的資金，但將此缺陷歸類為直接通往資產盜竊的路徑，因為攻擊者可以利用該授權，批准轉移服務商控制的資產。

商家端風險：Coinbase 參考伺服器套件

研究人員檢查的 所有七個 Coinbase 官方參考伺服器套件，都缺乏在成功驗證後撤銷操作的明確機制 。在 Coinbase 的 Flask 套件 0.2.1 版本中，無論後續結算是否成功，受保護的資源在驗證後都可能被釋出。這意味著使用這些套件的商家，可能在付款從未在鏈上完成的情況下，就交出了不可逆的服務（例如 API 回應或數位商品）。

市場集中度與網路手續費

該研究分析了 2025 年 10 月 1 日至 12 月 26 日期間，Base 和 Solana 上超過 1.19 億筆 x402 交易 。服務商合計花費約 20.2 萬美元的網路手續費，其中約 5,800 美元用於最終回滾或失敗的 Base 交易——這顯示了經濟上的不對稱性：即使付款從未完成，服務商仍需承擔區塊鏈成本 。鏈上數據進一步量化了 顯著的服務商集中度，研究期間 Coinbase 的 Base 服務商 在交易量上主導了整個生態系統。

修復現狀（截至 2026 年 2 月）

研究人員已負責任地揭露所有發現給受影響方 。Coinbase、PayAI 和 Mogami 已承認問題並採取緩解措施，包括在 2026 年 2 月修補了 6 個漏洞 。該論文指出，Coinbase 針對揭露內容進行了具體修改。其他服務商的修復狀況在現有來源中並未說明。

研究人員的建議

• 對服務商：強制執行所有八條涵蓋授權正確性與執行安全性的安全規則；絕不接受結算失敗作為交付服務的理由；實施簽名去重（nonce 追蹤）；拒絕零金額付款；生成加密簽署的收據，將支付 txHash → 服務端點 → 回應哈希鏈結起來，以利爭議解決 。
• 對商家：切勿僅在鏈下驗證後就立即釋出不可逆服務；要求先確認鏈上結算再進行交付；審計任何參考伺服器套件，確保結算失敗會觸發 402 回應，而非交付服務 。
• 對生態系統：採用標準化的安全不變量、自動化黑箱測試（論文為此介紹了 X402SCOPE），以及共享的問責層，以降低任何單一服務商漏洞的影響範圍 。