31 vulnerabilidades exponen el 99% de los pagos en criptomonedas x402 al robo

Un estudio de seguridad identificó 31 vulnerabilidades en 15 facilitadores principales de x402, un estándar nativo de HTTP para pagos programáticos, que afectan al 99% de las transacciones observadas. Cada facilitador falló al menos en una de las ocho reglas de verificación o liquidación de pagos. Las vulnerabilidades se clasificaron en cuatro clases de ataque: compras gratuitas, robo de activos, denegación de servicio y abuso de gas. En los ataques de compras gratuitas, los comerciantes liberan prematuramente servicios antes de la liquidación del pago. El robo de activos permite a los atacantes acceder al valor controlado por el facilitador, mientras que la denegación de servicio interrumpe el procesamiento de pagos. El abuso de gas resulta en que los facilitadores cubran los costos de los atacantes. Los investigadores validaron dos casos de compras gratuitas e identificaron 10 escenarios de alto riesgo adicionales. También informaron sobre tres instancias de abuso de gas y un camino de robo de activos. Todos los facilitadores mostraron caminos de alto riesgo para la denegación de servicio o la amplificación de costos. El estudio analizó más de 119 millones de transacciones y estimó aproximadamente 202,000 dólares en gas y tarifas desde el 1 de octubre hasta el 26 de diciembre de 2025. Los hallazgos se divulgaron a 14 de las 15 partes afectadas en enero, con Coinbase, PayAI y Mogami reconociendo seis vulnerabilidades para el 6 de febrero. Los autores recomiendan vincular la verificación a la liquidación, reservar nonces e implementar controles estrictos antes de una adopción más amplia de x402 por parte de los comerciantes.