31 vulnérabilités exposent 99 % des paiements en crypto x402 au vol

Une étude de sécurité a identifié 31 vulnérabilités parmi 15 principaux facilitateurs de x402, une norme HTTP-native pour les paiements programmatiques, affectant 99 % des transactions observées. Chaque facilitateur a échoué à au moins une des huit règles de vérification ou de règlement des paiements. Les vulnérabilités ont été classées en quatre catégories d'attaque : achats gratuits, vol d'actifs, déni de service et abus de gaz. Dans les attaques d'achats gratuits, les commerçants libèrent prématurément des services avant le règlement du paiement. Le vol d'actifs permet aux attaquants d'accéder à la valeur contrôlée par le facilitateur, tandis que le déni de service perturbe le traitement des paiements. L'abus de gaz entraîne des facilitateurs qui couvrent les coûts des attaquants. Les chercheurs ont validé deux cas d'achats gratuits et identifié 10 scénarios supplémentaires à haut risque. Ils ont également signalé trois cas d'abus de gaz et un chemin de vol d'actifs. Tous les facilitateurs ont présenté des chemins à haut risque pour le déni de service ou l'amplification des coûts. L'étude a analysé plus de 119 millions de transactions et estimé environ 202 000 dollars en gaz et frais du 1er octobre au 26 décembre 2025. Les résultats ont été divulgués à 14 des 15 parties affectées en janvier, Coinbase, PayAI et Mogami reconnaissant six vulnérabilités d'ici le 6 février. Les auteurs recommandent de lier la vérification au règlement, de réserver des nonces et de mettre en œuvre des contrôles stricts avant une adoption plus large de x402 par les commerçants.