Un nuovo studio ha scoperto 31 vulnerabilità di sicurezza in 15 facilitatori che supportano il protocollo di pagamento x402 — un sistema che gestisce quasi tutte le transazioni osservate durante il periodo di ricerca. Ciascuno dei 15 facilitatori ha fallito almeno una delle otto regole fondamentali per la verifica o il regolamento dei pagamenti, aprendo la strada a quattro classi distinte di attacchi: shopping gratuito, furto di asset, negazione del servizio e abuso di gas.
Quattro classi di attacco identificate
Gli attacchi di shopping gratuito consentono ai commercianti di aprire un servizio prima che un pagamento venga regolato. Il furto di asset dà agli aggressori accesso ai valori controllati dal facilitatore. La negazione del servizio blocca le corsie di pagamento, e l'abuso di gas costringe i facilitatori a pagare i costi di esecuzione dell'aggressore. I ricercatori hanno convalidato due casi di shopping gratuito end-to-end e segnalato altri 10 come ad alto rischio. Hanno anche riportato tre casi di abuso di gas e un percorso di furto di asset legato allo standard ERC-6492.
Una prova di concetto controllata ha indotto un'approvazione di token ma non è stata eseguita alcuna transazione o furto effettivo. Tutti i 15 facilitatori hanno mostrato percorsi ad alto rischio di negazione del servizio o amplificazione dei costi, sebbene i ricercatori non abbiano condotto un esperimento di drenaggio del gas o un test di carico che degradasse la disponibilità. Non è stata dimostrata alcuna interruzione del servizio.
Il costo delle vulnerabilità
Un'analisi basata sugli indirizzi che ha coperto oltre 119 milioni di transazioni su Base e Solana ha stimato circa $202.000 in gas e commissioni dal 1° ottobre al 26 dicembre 2025. Di questi, circa $5.800 sono associati a revert — transazioni fallite che hanno comunque comportato costi. La cifra non rappresenta fondi rubati, ma piuttosto lo spreco operativo che gli aggressori potrebbero sfruttare.
Risposte dei fornitori
I risultati sono stati comunicati a 14 dei 15 soggetti interessati a gennaio. Al 6 febbraio, Coinbase, PayAI e Mogami avevano collettivamente riconosciuto sei vulnerabilità. Alcune sono state risolte; altre sono ancora in fase di lavorazione. Il documento è anonimizzato, quindi non è chiaro quale correzione appartenga a quale fornitore.
I ricercatori hanno sottolineato che i risultati non dimostrano che ogni pagamento x402 fosse vulnerabile, che ogni facilitatore fosse sfruttabile in ogni modo, o che Coinbase sia stata violata.
Cosa si raccomanda
Le raccomandazioni dello studio includono il legame della verifica al regolamento, la riserva di nonce, la ricontrollo di tempo e stato dell'account, l'allowlist rigorosa delle forme di transazione ERC-1271 e ERC-6492, il tetto massimo alle commissioni sponsorizzate e il rifiuto di pagamenti non economici o non regolabili. Se i restanti facilitatori provvederanno a correggere prima della prossima scadenza di divulgazione rimane una domanda aperta.
