31 vulnerabilidades expõem 99% dos pagamentos em x402 ao roubo

Um estudo de segurança identificou 31 vulnerabilidades em 15 facilitadores principais do x402, um padrão nativo de HTTP para pagamentos programáticos, afetando 99% das transações observadas. Cada facilitador falhou em pelo menos uma das oito regras de verificação ou liquidação de pagamentos. As vulnerabilidades foram categorizadas em quatro classes de ataque: compras gratuitas, roubo de ativos, negação de serviço e abuso de gás. Nos ataques de compras gratuitas, os comerciantes liberam prematuramente serviços antes da liquidação do pagamento. O roubo de ativos permite que os atacantes acessem valores controlados pelos facilitadores, enquanto a negação de serviço interrompe o processamento de pagamentos. O abuso de gás resulta em facilitadores cobrindo os custos dos atacantes. Os pesquisadores validaram dois casos de compras gratuitas e identificaram 10 cenários de alto risco adicionais. Eles também relataram três instâncias de abuso de gás e um caminho de roubo de ativos. Todos os facilitadores apresentaram caminhos de alto risco para negação de serviço ou amplificação de custos. O estudo analisou mais de 119 milhões de transações e estimou aproximadamente 202.000 dólares em gás e taxas de 1º de outubro a 26 de dezembro de 2025. As descobertas foram divulgadas a 14 das 15 partes afetadas em janeiro, com Coinbase, PayAI e Mogami reconhecendo seis vulnerabilidades até 6 de fevereiro. Os autores recomendam vincular a verificação à liquidação, reservar nonces e implementar controles rigorosos antes da adoção mais ampla do x402 pelos comerciantes.