31 آسیب‌پذیری، 99% پرداخت‌های رمزنگاری x402 را در معرض سرقت قرار می‌دهد

یک مطالعه امنیتی 31 آسیب‌پذیری را در 15 تسهیل‌کننده اصلی x402، یک استاندارد بومی HTTP برای پرداخت‌های برنامه‌نویسی، شناسایی کرد که 99% از تراکنش‌های مشاهده شده را تحت تأثیر قرار می‌دهد. هر تسهیل‌کننده حداقل یکی از هشت قانون تأیید یا تسویه پرداخت را نقض کرده است. این آسیب‌پذیری‌ها به چهار کلاس حمله تقسیم‌بندی شدند: خرید رایگان، سرقت دارایی، انکار خدمات و سوءاستفاده از گاز. در حملات خرید رایگان، فروشندگان خدمات را قبل از تسویه پرداخت به‌طور زودهنگام ارائه می‌دهند. سرقت دارایی به مهاجمان اجازه می‌دهد به ارزش تحت کنترل تسهیل‌کننده دسترسی پیدا کنند، در حالی که انکار خدمات پردازش پرداخت را مختل می‌کند. سوءاستفاده از گاز منجر به پوشش هزینه‌های مهاجمان توسط تسهیل‌کنندگان می‌شود. محققان دو مورد خرید رایگان را تأیید کردند و 10 سناریوی پرخطر اضافی را شناسایی کردند. آن‌ها همچنین سه مورد سوءاستفاده از گاز و یک مسیر سرقت دارایی را گزارش کردند. همه تسهیل‌کنندگان مسیرهای پرخطر بالایی برای انکار خدمات یا افزایش هزینه‌ها نشان دادند. این مطالعه بیش از 119 میلیون تراکنش را تحلیل کرد و هزینه‌های گاز و کارمزد را از 1 اکتبر تا 26 دسامبر 2025 حدود 202000 دلار تخمین زد. یافته‌ها در ژانویه به 14 از 15 طرف آسیب‌دیده افشا شد و Coinbase، PayAI و Mogami تا 6 فوریه شش آسیب‌پذیری را تأیید کردند. نویسندگان توصیه می‌کنند که تأیید به تسویه متصل شود، نانس‌ها رزرو شوند و کنترل‌های سخت‌گیرانه‌ای قبل از پذیرش گسترده x402 توسط فروشندگان پیاده‌سازی شود.