31 уязвимость подвергает 99% крипто-платежей x402 риску кражи

Исследование безопасности выявило 31 уязвимость у 15 основных посредников x402, стандартов HTTP для программных платежей, что затрагивает 99% наблюдаемых транзакций. Каждый посредник не прошел как минимум одно из восьми правил проверки или расчетов платежей. Уязвимости были классифицированы на четыре класса атак: бесплатные покупки, кража активов, отказ в обслуживании и злоупотребление газом. В атаках бесплатных покупок продавцы преждевременно предоставляют услуги до завершения расчетов. Кража активов позволяет злоумышленникам получить доступ к контролируемой посредником стоимости, в то время как отказ в обслуживании нарушает обработку платежей. Злоупотребление газом приводит к тому, что посредники покрывают расходы злоумышленников. Исследователи подтвердили два случая бесплатных покупок и выявили 10 дополнительных сценариев с высоким риском. Они также сообщили о трех случаях злоупотребления газом и одном пути кражи активов. Все посредники продемонстрировали высокие риски отказа в обслуживании или увеличения затрат. Исследование проанализировало более 119 миллионов транзакций и оценило примерно 202000 долларов США в виде газа и сборов с 1 октября по 26 декабря 2025 года. Результаты были раскрыты 14 из 15 затронутых сторон в январе, при этом Coinbase, PayAI и Mogami признали шесть уязвимостей к 6 февраля. Авторы рекомендуют связывать проверку с расчетом, резервировать nonce и внедрять строгий контроль перед более широким внедрением x402 торговцами.