31 Sicherheitsanfälligkeiten setzen 99 % der x402-Kryptozahlungen dem Diebstahl aus

Eine Sicherheitsstudie identifizierte 31 Sicherheitsanfälligkeiten bei 15 wichtigen Anbietern von x402, einem HTTP-nativen Standard für programmatische Zahlungen, die 99 % der beobachteten Transaktionen betreffen. Jeder Anbieter scheiterte an mindestens einer der acht Regeln zur Zahlungsüberprüfung oder -abwicklung. Die Sicherheitsanfälligkeiten wurden in vier Angriffsarten kategorisiert: kostenloses Einkaufen, Diebstahl von Vermögenswerten, Dienstverweigerung und Gasmissbrauch. Bei Angriffen auf kostenloses Einkaufen geben Händler Dienstleistungen vorzeitig frei, bevor die Zahlung abgewickelt wird. Der Diebstahl von Vermögenswerten ermöglicht es Angreifern, auf vom Anbieter kontrollierte Werte zuzugreifen, während die Dienstverweigerung die Zahlungsabwicklung stört. Gasmissbrauch führt dazu, dass Anbieter die Kosten der Angreifer übernehmen. Die Forscher validierten zwei Fälle von kostenlosem Einkaufen und identifizierten 10 zusätzliche Hochrisikoszenarien. Sie berichteten auch über drei Fälle von Gasmissbrauch und einen Weg zum Diebstahl von Vermögenswerten. Alle Anbieter wiesen Hochrisikowege für Dienstverweigerung oder Kostensteigerung auf. Die Studie analysierte über 119 Millionen Transaktionen und schätzte die Kosten für Gas und Gebühren auf etwa 202.000 Dollar vom 1. Oktober bis 26. Dezember 2025. Die Ergebnisse wurden im Januar 14 der 15 betroffenen Parteien offengelegt, wobei Coinbase, PayAI und Mogami bis zum 6. Februar sechs Sicherheitsanfälligkeiten anerkannten. Die Autoren empfehlen, die Überprüfung an die Abwicklung zu binden, Nonces zu reservieren und strenge Kontrollen einzuführen, bevor x402 von Händlern breiter angenommen wird.