كشفت دراسة جديدة عن 31 ثغرة أمنية عبر 15 وسيطًا يدعمون بروتوكول الدفع x402 — وهو نظام يعالج تقريبًا جميع المعاملات التي تم رصدها خلال فترة البحث. فشل كل من الـ 15 وسيطًا في الالتزام بواحدة على الأقل من القواعد الثمانية الأساسية للتحقق من الدفع أو التسوية، مما فتح الباب أمام أربعة أنواع متميزة من الهجمات: التسوق المجاني، سرقة الأصول، تعطيل الخدمة، وإساءة استخدام الغاز.
أنواع الهجمات الأربعة المحددة
هجمات التسوق المجاني تسمح للتجار بفتح خدمة قبل تسوية الدفع. سرقة الأصول تمنح المهاجمين إمكانية الوصول إلى القيمة التي يتحكم فيها الوسيط. تعطيل الخدمة يعطل مسارات الدفع، وإساءة استخدام الغاز تجبر الوسيط على دفع تكاليف تنفيذ المهاجم. تحقق الباحثون من حالتين للتسوق المجاني من البداية إلى النهاية، وأشاروا إلى 10 حالات أخرى عالية المخاطر. كما أبلغوا عن ثلاث حالات لإساءة استخدام الغاز ومسار واحد لسرقة الأصول مرتبط بمعيار ERC-6492.
أظهر إثبات مفهوم خاضع للرقابة موافقة على رمز مميز ولكن لم يتم تنفيذ أي تحويل أو سرقة فعلية. أظهر جميع الـ 15 وسيطًا مسارات عالية المخاطر لتعطيل الخدمة أو تضخيم التكاليف، على الرغم من أن الباحثين لم يُجروا تجربة استنزاف للغاز أو اختبار تحميل يقلل من التوفر. لم يتم إثبات أي انقطاع في الخدمة.
تكلفة الثغرات
غطى تحليل قائم على العناوين أكثر من 119 مليون معاملة على بلوكتشين Base وSolana، وقدر حوالي 202,000 دولار من رسوم الغاز والرسوم الأخرى في الفترة من 1 أكتوبر إلى 26 ديسمبر 2025. يشمل ذلك حوالي 5,800 دولار مرتبطة بالمعاملات المرفوضة — وهي معاملات فشلت ولكنها لا تزال تكلف أموالاً. لا يمثل هذا الرقم أموالاً مسروقة، بل هو هدر تشغيلي يمكن للمهاجمين استغلاله.
استجابات البائعين
تم الإفصاح عن النتائج إلى 14 من الأطراف المتأثرة البالغ عددها 15 في يناير. اعتبارًا من 6 فبراير، أقرت Coinbase وPayAI وMogami بشكل جماعي بست ثغرات. تم إصلاح بعضها؛ والبعض الآخر لا يزال قيد العمل. الورقة البحثية مجهولة المصدر، لذا ليس من الواضح أي إصلاح يعود لأي بائع.
أكد الباحثون أن النتائج لا تظهر أن كل دفعة عبر x402 كانت معرضة للخطر، أو أن كل وسيط كان قابلاً للاستغلال بكل الطرق، أو أن Coinbase تم اختراقها.
التوصيات
تشمل توصيات الدراسة ربط التحقق بالتسوية، حجز الأرقام العشوائية، إعادة التحقق من الوقت وحالة الحساب، السماح الصارم بأشكال معاملات ERC-1271 وERC-6492، تحديد الرسوم المدعومة، ورفض المدفوعات غير الاقتصادية أو غير القابلة للتسوية. ما إذا كان الوسطاء المتبقون سيصلحون الثغرات قبل الموعد النهائي التالي للإفصاح يبقى سؤالاً مفتوحًا.
