Coinbase 在 x402 支付中面臨安全警報

一項在第35屆 USENIX Security Symposium 上提交的研究指出，15家大型 x402 支付促進方存在安全漏洞，其中包括 Coinbase、Thirdweb、PayAI 和 Mogami。根據該研究，所有被評估的平台都至少違反了一項安全規則，在所分析期間，這一範圍集中於所觀察交易的 99% 和支付量的 98%。

研究人員將 49 起規則違規對應到 31 個不同漏洞，並將風險歸類為四類攻擊：未實際付款的購買、資產盜竊、服務中斷和 gas 濫用。在有限條件下，有六條攻擊路徑被直接驗證：兩條「free shopping」、三條 gas 濫用，以及一條可能暴露由促進方自身持有資產的路徑。

在所描述的最嚴重案例中，問題涉及 ERC-6492 簽名標準，該標準用於 Ethereum 上尚未部署的智能合約錢包。分析指出，惡意元數據可能導致某個促進方資助並發送一筆任意的代幣批准交易，而不是其原本預期結算的付款。作者沒有轉移資金，但將該漏洞歸類為一條直接通向資產盜竊的路徑。

該研究還強調了可能將損失轉移給商家的漏洞。在一個被稱為「free shopping」的場景中，一筆 x402 支付可能通過區塊鏈外的初步驗證，但隨後仍然失敗，例如如果授權過期或買方餘額不足。如果商家在驗證後立即釋放一項不可逆服務，用戶即使沒有完成付款的最終結算，也可能收到產品。研究人員還表示，被審查的 Coinbase 七個官方參考伺服器工具包沒有明確機制來撤銷在成功驗證後執行的操作。

在研究人員測量的時間窗口內，Coinbase 是最大的促進方，處理了 77,17 萬筆交易，交易量接近 US$ 27 萬。該研究分析了 2025 年 10 月 1 日至 12 月 26 日期間 Base 和 Solana 上超過 119 萬筆交易 x402，在此期間，促進方花費了約 US$ 202 千的網絡費用，其中包括 Base 上約 US$ 5,8 千的失敗或被回滾交易。

這些披露促使部分參與方採取了修復措施。在該研究提到的最新修復更新中，日期為 6 de febrero，Coinbase、PayAI 和 Mogami 共同確認了六個漏洞。其中一部分已經被修復，而其他一些仍在處理中。

本內容僅供參考，不構成任何金融、投資、法律或稅務建議。文中提及的任何活動、獎勵、線上活動或相關資訊，不應被視為對購買、出售或交易任何加密資產的推薦、招攬或邀請。加密資產具有高波動性，存在價值損失風險。WEEX服務、產品及相關活動的可用性可能因地區而異。用戶在參與前有責任確保符合當地適用法律法規。