31 вразливість піддає 99% крипто-платежів x402 крадіжці

Дослідження безпеки виявило 31 вразливість у 15 основних постачальників x402, стандарту для програмних платежів, що працює на основі HTTP, які впливають на 99% спостережуваних транзакцій. Кожен постачальник не виконав принаймні одне з восьми правил перевірки або розрахунку платежів. Вразливості були класифіковані на чотири класи атак: безкоштовні покупки, крадіжка активів, відмова в обслуговуванні та зловживання газом. У атаках безкоштовних покупок торговці передчасно надають послуги до завершення платежу. Крадіжка активів дозволяє зловмисникам отримати доступ до контролюваної постачальником вартості, тоді як відмова в обслуговуванні порушує обробку платежів. Зловживання газом призводить до покриття витрат зловмисників постачальниками. Дослідники підтвердили два випадки безкоштовних покупок і виявили 10 додаткових сценаріїв з високим ризиком. Вони також повідомили про три випадки зловживання газом і один шлях крадіжки активів. Усі постачальники продемонстрували високі ризикові шляхи для відмови в обслуговуванні або збільшення витрат. Дослідження проаналізувало понад 119 мільйонів транзакцій і оцінило приблизно 202000 доларів США витрат на газ і збори з 1 жовтня по 26 грудня 2025 року. Результати були розкриті 14 з 15 постраждалих сторін у січні, при цьому Coinbase, PayAI та Mogami визнали шість вразливостей до 6 лютого. Автори рекомендують пов'язати перевірку з розрахунком, резервувати nonce та впроваджувати суворий контроль перед більш широким впровадженням x402 торговцями.