新たな研究により、x402決済プロトコルをサポートする15のファシリテーターにおいて31件のセキュリティ脆弱性が発見された。このプロトコルは調査期間中に観測されたほぼすべてのトランザクションを処理している。攻撃の種類は、無料ショッピング、資産窃取、サービス拒否、ガス悪用の4つに分類される。
特定された4つの攻撃クラス
無料ショッピング攻撃では、決済が完了する前にマーチャントがサービスを開始できる。資産窃取は攻撃者がファシリテーター管理下の価値にアクセスすることを可能にする。サービス拒否は決済経路を妨害し、ガス悪用はファシリテーターに攻撃者の実行コストを負担させる。研究者らは2件の無料ショッピング事例をエンドツーエンドで検証し、さらに10件を高リスクと判定した。また、ERC-6492標準に関連する3件のガス悪用事例と1件の資産窃取経路を報告した。
概念実証ではトークン承認を誘発したが、実際の転送や窃取は実行されなかった。15のファシリテーターすべてに高リスクのサービス拒否またはコスト増大経路が存在したが、研究者らはガス枯渇実験や可用性低下を招く負荷テストは実施しておらず、実際の停止は実証されていない。
脆弱性のコスト
BaseおよびSolanaの1億1900万件以上のトランザクションを対象としたアドレスベースの分析では、2025年10月1日から12月26日までのガス代と手数料は約20万2000ドルと推定された。このうち約5800ドルはリバート（失敗したがコストが発生したトランザクション）に関連するものだ。この金額は盗まれた資金ではなく、攻撃者が悪用しうる運用上の無駄を表している。
ベンダーの対応
調査結果は1月に影響を受けた15の関係者のうち14に開示された。2月6日時点で、Coinbase、PayAI、Mogamiが合計6件の脆弱性を認識している。一部は修正済みで、他は現在も対応中である。論文は匿名化されているため、どの修正がどのベンダーに対応するかは明らかではない。
研究者らは、この調査結果がすべてのx402決済が脆弱であったこと、すべてのファシリテーターがあらゆる方法で悪用可能であったこと、またはCoinbaseが侵害されたことを示すものではないと強調している。
推奨事項
この研究の推奨事項には、検証と決済の結合、nonceの予約、時間とアカウント状態の再確認、ERC-1271およびERC-6492トランザクション形状の厳格なホワイトリスト化、スポンサー付き手数料の上限設定、経済的でないまたは決済不能な支払いの拒否が含まれる。残りのファシリテーターが次の開示期限までにパッチを適用するかどうかは未定である。
