En ny studie har avslöjat 31 säkerhetssårbarheter hos 15 förmedlare som stöder betalningsprotokollet x402 – ett system som hanterar nästan alla observerade transaktioner under forskningsperioden. Var och en av de 15 förmedlarna misslyckades med minst en av åtta grundregler för betalningsverifiering eller avveckling, vilket öppnade dörren för fyra distinkta attackklasser: gratisshopping, tillgångsstöld, tjänsteförnekelse och gasmissbruk.
Fyra attackklasser identifierade
\nGratisshoppingattacker låter handlare öppna en tjänst innan en betalning avvecklas. Tillgångsstöld ger angripare tillgång till förmedlarkontrollerade värden. Tjänsteförnekelse blockerar betalningsvägar, och gasmissbruk tvingar förmedlare att betala angriparens exekveringskostnader. Forskarna validerade två gratisshoppingfall från början till slut och flaggade ytterligare tio som högrisk. De rapporterade också tre fall av gasmissbruk och en tillgångsstöldväg kopplad till ERC-6492-standarden.
Ett kontrollerat proof of concept framkallade en token-godkännande men ingen faktisk överföring eller stöld genomfördes. Alla 15 förmedlare visade högriskvägar för tjänsteförnekelse eller kostnadsförstärkning, även om forskarna inte genomförde ett gasdräneringsexperiment eller ett belastningstest som försämrar tillgängligheten. Inget avbrott demonstrerades.
Kostnaden för sårbarheterna
\nEn adressbaserad analys som täckte över 119 miljoner Base- och Solana-transaktioner uppskattade cirka 202 000 USD i gas och avgifter från 1 oktober till 26 december 2025. Det inkluderar ungefär 5 800 USD kopplade till reverteringar – transaktioner som misslyckades men ändå kostade pengar. Siffran representerar inte stulna medel, utan snarare det operativa slöseri som angripare skulle kunna utnyttja.
För att åtgärda problemen rekommenderar studien att binda verifiering till avveckling, reservera nonces, omkontrollera tid och kontostatus, strikt vitlista ERC-1271- och ERC-6492-transaktionsformer, tak för sponsrade avgifter samt avvisa oekonomiska eller icke-avvecklingsbara betalningar. Huruvida de återstående förmedlarna kommer att lappa innan nästa avslöjandefrist förblir en öppen fråga.
