Coinbase стикається з попередженням про безпеку в x402 платежах

Дослідження, представлене на 35-й конференції USENIX Security Symposium, вказує на наявність вразливостей безпеки у 15 великих провайдерів x402 платежів, серед яких Coinbase, Thirdweb, PayAI та Mogami. Згідно з дослідженням, всі оцінювані платформи принаймні порушили одне правило безпеки, при цьому цей діапазон охоплював 99% спостережуваних транзакцій та 98% обсягу платежів, представлених на конференції USENIX Security Symposium.

Дослідники пов'язали 49 випадків порушення правил з 31 різними вразливостями та класифікували ризики на чотири категорії атак: покупки без фактичної оплати, крадіжка активів, переривання послуг та зловживання газом. У обмежених умовах було безпосередньо перевірено шість шляхів атаки: два "безкоштовних шопінга", три зловживання газом та один можливий шлях, що піддає ризику активи, які утримуються самим провайдером.

У найсерйознішому випадку проблема стосується стандарту підпису ERC-6492, який використовується для смарт-контрактних гаманців, ще не розгорнутим на Ethereum. Аналіз показав, що шкідливі метадані можуть призвести до того, що певний провайдер фінансуватиме та надсилатиме транзакцію з будь-яким затвердженням токенів, а не очікувану оплату. Автори не перемістили кошти, але класифікували цю вразливість як прямий шлях до крадіжки активів.

Дослідження також підкреслює вразливість, яка може призвести до перенесення збитків на торговців. У сценарії, відомому як "безкоштовний шопінг", x402 платіж може пройти попередню перевірку поза блокчейном, але потім все ще зазнати невдачі, наприклад, якщо термін дії авторизації закінчився або баланс покупця недостатній. Якщо торговець негайно випустить незворотну послугу після перевірки, користувач може отримати продукт, навіть якщо остаточна оплата не була завершена. Дослідники також зазначили, що сім офіційних серверних пакетів Coinbase не мають чіткої механізму для скасування дій, виконаних після успішної перевірки.

Протягом вимірювального вікна, Coinbase був найбільшим провайдером, обробивши 77,17 мільйонів транзакцій, з обсягом близько 27 мільйонів доларів США. Дослідження проаналізувало понад 119 мільйонів транзакцій x402 на Base та Solana в період з 1 жовтня 2025 року по 26 грудня, протягом якого провайдери витратили близько 202 тисяч доларів США на мережеві збори, включаючи близько 5,8 тисяч доларів США на невдалі або скасовані транзакції на Base.

Ці розкриття спонукали деяких учасників вжити заходів для виправлення. У останньому оновленні виправлень, згаданому в дослідженні, датованому 6 лютого, Coinbase, PayAI та Mogami спільно підтвердили шість вразливостей. Частина з них вже була виправлена, тоді як інші все ще обробляються.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.