একটি নতুন গবেষণায় ১৫টি ফ্যাসিলিটেটরে ৩১টি নিরাপত্তা দুর্বলতা উন্মোচিত হয়েছে যা x402 পেমেন্ট প্রোটোকল সমর্থন করে — একটি সিস্টেম যা গবেষণা উইন্ডোতে প্রায় সমস্ত পর্যবেক্ষিত লেনদেন পরিচালনা করে। প্রতিটি ১৫টি ফ্যাসিলিটেটর পেমেন্ট যাচাইকরণ বা নিষ্পত্তির জন্য আটটি মূল নিয়মের মধ্যে অন্তত একটি ব্যর্থ করেছে, যা চারটি স্বতন্ত্র আক্রমণ শ্রেণীর দরজা খুলে দিয়েছে: ফ্রি শপিং, সম্পদ চুরি, সেবা অস্বীকার এবং গ্যাস অপব্যবহার।
চারটি আক্রমণ শ্রেণী চিহ্নিত
\nফ্রি-শপিং আক্রমণ ব্যবসায়ীদের পেমেন্ট নিষ্পত্তির আগে একটি সেবা খুলতে দেয়। সম্পদ চুরি আক্রমণকারীদের ফ্যাসিলিটেটর-নিয়ন্ত্রিত মূল্যে অ্যাক্সেস দেয়। সেবা অস্বীকার পেমেন্ট লেন জ্যাম করে, এবং গ্যাস অপব্যবহার ফ্যাসিলিটেটরদের আক্রমণকারীর নির্বাহ খরচ দিতে বাধ্য করে। গবেষকরা দুটি ফ্রি-শপিং কেস এন্ড-টু-এন্ড যাচাই করেছেন এবং আরও ১০টিকে উচ্চ ঝুঁকি হিসেবে চিহ্নিত করেছেন। তারা ERC-6492 স্ট্যান্ডার্ডের সাথে যুক্ত তিনটি গ্যাস অপব্যবহারের ঘটনা এবং একটি সম্পদ চুরির পথও রিপোর্ট করেছেন।
একটি নিয়ন্ত্রিত প্রমাণ-অব-ধারণা একটি টোকেন অনুমোদন প্ররোচিত করেছিল কিন্তু প্রকৃত স্থানান্তর বা চুরি কার্যকর করা হয়নি। সমস্ত ১৫টি ফ্যাসিলিটেটর উচ্চ-ঝুঁকির সেবা-অস্বীকার বা খরচ-বৃদ্ধি পথ দেখিয়েছে, যদিও গবেষকরা গ্যাস-ড্রেন পরীক্ষা বা উপলভ্যতা-হ্রাসকারী লোড পরীক্ষা চালাননি। কোনো বিভ্রাট প্রদর্শিত হয়নি।
দুর্বলতার খরচ
১১৯ মিলিয়নেরও বেশি বেস এবং সোলানা লেনদেন কভার করে একটি ঠিকানা-ভিত্তিক বিশ্লেষণে ১ অক্টোবর থেকে ২৬ ডিসেম্বর, ২০২৫ পর্যন্ত প্রায় $২০২,০০০ গ্যাস এবং ফি অনুমান করা হয়েছে। এর মধ্যে প্রায় $৫,৮০০ রিভার্টের সাথে যুক্ত — লেনদেন যা ব্যর্থ হয়েছে কিন্তু তবুও খরচ হয়েছে। এই পরিমাণ চুরি হওয়া তহবিল নয়, বরং অপারেশনাল অপচয় যা আক্রমণকারীরা কাজে লাগাতে পারে।
ভেন্ডর প্রতিক্রিয়া
\nজানুয়ারিতে ১৫টি প্রভাবিত পক্ষের মধ্যে ১৪টির কাছে ফলাফল প্রকাশ করা হয়। ৬ ফেব্রুয়ারি পর্যন্ত, Coinbase, PayAI এবং Mogami যৌথভাবে ছয়টি দুর্বলতা স্বীকার করেছে। কিছু ঠিক করা হয়েছে; অন্যগুলো এখনও কাজ চলছে। গবেষণাপত্রটি বেনামী, তাই কোন ফিক্স কোন ভেন্ডরের তা স্পষ্ট নয়।
গবেষকরা জোর দিয়ে বলেছেন যে ফলাফলগুলি দেখায় না যে প্রতিটি x402 পেমেন্ট দুর্বল ছিল, প্রতিটি ফ্যাসিলিটেটর প্রতিটি উপায়ে শোষণযোগ্য ছিল, বা Coinbase লঙ্ঘিত হয়েছিল।
সুপারিশ
\nগবেষণার সুপারিশগুলির মধ্যে রয়েছে যাচাইকরণকে নিষ্পত্তির সাথে বাঁধা, ননস রিজার্ভ করা, সময় এবং অ্যাকাউন্টের অবস্থা পুনঃপরীক্ষা করা, ERC-1271 এবং ERC-6492 লেনদেনের আকার কঠোরভাবে অনুমোদিত তালিকাভুক্ত করা, স্পন্সরকৃত ফি সীমিত করা, এবং অ-অর্থনৈতিক বা অ-নিষ্পত্তিযোগ্য পেমেন্ট প্রত্যাখ্যান করা। বাকি ফ্যাসিলিটেটররা পরবর্তী প্রকাশের সময়সীমার আগে প্যাচ করবে কিনা তা একটি উন্মুক্ত প্রশ্ন থেকে যায়।
