31の脆弱性が99%のx402暗号決済を盗難にさらす

セキュリティ研究により、プログラム支払いのためのHTTPネイティブ標準であるx402の主要な15のファシリテーターにおいて31の脆弱性が特定され、観察された取引の99%に影響を及ぼすことが明らかになりました。各ファシリテーターは、8つの支払い検証または決済ルールのうち少なくとも1つに失敗しました。脆弱性は、無料ショッピング、資産盗難、サービス拒否、ガス悪用の4つの攻撃クラスに分類されました。無料ショッピング攻撃では、商人が支払い決済前にサービスを早期に提供します。資産盗難は攻撃者がファシリテーターが管理する価値にアクセスできることを許し、サービス拒否は支払い処理を妨害します。ガス悪用はファシリテーターが攻撃者のコストを負担する結果をもたらします。研究者たちは2件の無料ショッピングのケースを検証し、さらに10件の高リスクシナリオを特定しました。また、3件のガス悪用の事例と1件の資産盗難の経路も報告されました。すべてのファシリテーターはサービス拒否またはコスト増幅の高リスク経路を示しました。この研究では119百万件以上の取引が分析され、2025年10月1日から12月26日までのガスと手数料が約202,000ドルに達することが推定されました。調査結果は、1月に影響を受けた15の関係者のうち14に開示され、Coinbase、PayAI、Mogamiは2月6日までに6つの脆弱性を認めました。著者たちは、商人によるx402の広範な採用の前に、決済に対するバインディング検証、ノンスの予約、厳格な管理の実施を推奨しています。