Coinbase 在 x402 支付中面临安全警报

一项在第35届 USENIX Security Symposium 上提交的研究指出，15家大型 x402 支付促进方存在安全漏洞，其中包括 Coinbase、Thirdweb、PayAI 和 Mogami。根据该研究，所有被评估的平台都至少违反了一项安全规则，在所分析期间，这一范围集中了所观察交易的 99% 和支付量的 98% 在 USENIX Security Symposium 上提交的研究。

研究人员将 49 起规则违规对应到 31 个不同漏洞，并将风险归类为四类攻击：未实际付款的购买、资产盗窃、服务中断和 gas 滥用。在有限条件下，有六条攻击路径被直接验证：两条"free shopping"、三条 gas 滥用，以及一条可能暴露由促进方自身持有资产的路径。

在所描述的最严重案例中，问题涉及 ERC-6492 签名标准，该标准用于 Ethereum 上尚未部署的智能合约钱包。分析指出，恶意元数据可能导致某个促进方资助并发送一笔任意的代币批准交易，而不是其原本预期结算的付款。作者没有转移资金，但将该漏洞归类为一条直接通向资产盗窃的路径。

该研究还强调了可能将损失转移给商家的漏洞。在一个被称为"free shopping"的场景中，一笔 x402 支付可能通过区块链外的初步验证，但随后仍然失败，例如如果授权过期或买方余额不足。如果商家在验证后立即释放一项不可逆服务，用户即使没有完成付款的最终结算，也可能收到产品。研究人员还表示，被审查的 Coinbase 七个官方参考服务器工具包没有明确机制来撤销在成功验证后执行的操作。

在研究人员测量的时间窗口内，Coinbase 是最大的促进方，处理了 77,17 milhões de transações，交易量接近 US$ 27 milhões。该研究分析了 2025 年 10 月 1 日至 12 月 26 日期间 Base 和 Solana 上超过 119 milhões de transações x402，在此期间，促进方花费了约 US$ 202 mil 的网络费用，其中包括 Base 上约 US$ 5,8 mil 的失败或被回滚交易。

这些披露促使部分参与方采取了修复措施。在该研究提到的最新修复更新中，日期为 6 de fevereiro，Coinbase、PayAI 和 Mogami 共同确认了六个漏洞。其中一部分已经被修复，而其他一些仍在处理中。

本内容仅供参考，不构成任何金融、投资、法律或税务建议。文中提及的任何活动、奖励、线上活动或相关信息，不应被视为对购买、出售或交易任何加密资产的推荐、招揽或邀请。加密资产具有高波动性，存在价值损失风险。WEEX服务、产品及相关活动的可用性可能因地区而异。用户在参与前有责任确保符合当地适用法律法规。