Cạm bẫy lòng tin của giao thức mở: Tại sao x402 cần một lớp trách nhiệm tập trung?

Giao thức thanh toán x402 đã phát hiện 31 lỗ hổng mới, 99% giao dịch đối mặt với rủi ro bị đánh cắp tài sản.

Tác giả: @Jun__Yoo

Biên dịch: AididiaoJP, Foresight News

Akiba của CryptoSlate (@akibablade) gần đây đã xuất bản một bài viết có tiêu đề "31 lỗ hổng mới phát hiện khiến 99% thanh toán tiền điện tử x402 đối mặt với rủi ro bị đánh cắp tài sản và mua sắm miễn phí".

Bài viết này dựa trên một bài báo có tiêu đề "Khi HTTP 402 gặp Blockchain: Rủi ro của thanh toán x402 mới nổi". Bài báo đã được chấp nhận và sẽ được công bố tại hội nghị USENIX Security 2026.

Bài báo tập trung vào cách x402 ủy thác việc xác minh chứng từ thanh toán và thanh toán trên chuỗi cho các facilitator (người thúc đẩy thanh toán) bên thứ ba. Thiết kế này tập trung lòng tin và logic xác minh vào cơ sở hạ tầng thanh toán mà nhiều thương gia độc lập chia sẻ. Một khi một facilitator gặp lỗ hổng, nó có thể ảnh hưởng đến nhiều dịch vụ.

Các nhà nghiên cứu cũng đã xác định tám quy tắc an toàn mà facilitator phải tuân thủ. Vi phạm những quy tắc này có thể dẫn đến bốn loại tấn công: mua sắm miễn phí, đánh cắp tài sản, từ chối dịch vụ và lạm dụng Gas. Họ đã đánh giá 15 facilitator chính và phát hiện 49 vi phạm quy tắc cùng 31 lỗ hổng chưa từng biết đến trước đó. Kết quả nghiên cứu đã được công bố riêng cho các bên liên quan. Một số vấn đề đã được khắc phục, trong khi các vấn đề còn lại đang được xử lý.

Nghiên cứu này có thể được thực hiện vì x402 đã được phát triển như một giao thức mở ngay từ đầu. Các tiêu chuẩn giao thức và SDK tham khảo đều được công khai, cho phép các nhà nghiên cứu suy luận ra các quy tắc an toàn cho quy trình thanh toán. Họ đã sử dụng SDK mã nguồn mở và các thương gia thử nghiệm tự xây dựng để hoàn thành nghiên cứu.

Mã nguồn mở không thể loại bỏ lỗ hổng, nhưng nó cung cấp một con đường để các thiếu sót được phát hiện bên ngoài có thể chuyển hóa thành các tiêu chuẩn an toàn chung. Giao thức x402 đã được chuyển giao cho Quỹ Linux vào ngày 2 tháng 4, và Quỹ x402 cũng đã chính thức bắt đầu hoạt động vào ngày 14 tháng 7, với 40 thành viên. Điều này cung cấp một diễn đàn chính thức để thảo luận về các kết quả phát hiện ở cấp độ tiêu chuẩn và thực hiện tham khảo, không còn giới hạn ở các bản vá của một nhà cung cấp đơn lẻ.

Các nhà nghiên cứu cũng đã phát hành phiên bản công khai của x402scope, đã loại bỏ mã khai thác nhạy cảm. Họ đang thảo luận với Coinbase và các bên tham gia hệ sinh thái chính khác về cách tích hợp kiểm tra quy tắc của họ vào quy trình xác minh trước khi phát triển và triển khai.

Cuộc thảo luận về độ trưởng thành của giao thức đến đây là đủ. Tôi muốn đặt ra một câu hỏi cơ bản hơn từ những phát hiện này.

Thay vì tập trung hóa x402, liệu một giao thức mở có cần một lớp trách nhiệm tập trung để thực thi các tiêu chuẩn xác minh và chịu trách nhiệm về chi phí và tổn thất phát sinh từ các sự kiện an toàn không?

Tập trung hóa không tự động đồng nghĩa với an toàn. Nhưng trong lĩnh vực thanh toán, bên thực thi quyền lực cũng nên chịu trách nhiệm về chi phí thất bại.

Hãy xem cách x402 hoạt động thực tế. Bất kỳ ai cũng có thể vận hành máy chủ hoặc trở thành facilitator. Nhưng hệ thống không hoàn toàn không tin cậy. Bài báo cũng định nghĩa facilitator là "môi giới chịu trách nhiệm về lòng tin". Một khi việc xác minh và thanh toán được ủy thác, người dùng phải đặt một mức độ tin tưởng đáng kể vào facilitator.

Vấn đề là lòng tin bị tập trung, nhưng giao thức không yêu cầu vốn tương ứng, cơ chế trách nhiệm hoặc tính chắc chắn trong thanh toán. Khoảng trống này thể hiện ở ba phần thiết kế.

Thứ nhất, verify (xác minh) giống như đang dự đoán "thanh toán vẫn khả thi vào lúc này", thay vì như việc ủy quyền thẻ tín dụng. Nó kiểm tra chữ ký, số dư, nonce và thời gian hết hạn, nhưng không khóa tiền và không tiêu tốn nonce.

Thứ hai, sự tách biệt giữa verify → logic kinh doanh → settle (thanh toán) có ý định bảo vệ người tiêu dùng và thương gia. Giao thức không có cơ chế nào để ràng buộc xác minh và thanh toán thông qua trạng thái chia sẻ. Nếu thương gia hành động dựa trên kết quả xác minh của facilitator và sau đó thanh toán không thành công, thương gia sẽ phải chịu toàn bộ tổn thất.

Thứ ba, nhiều facilitator sẽ tài trợ cho chi phí thanh toán trên chuỗi. Kẻ tấn công có thể thao túng đường thực thi, khiến facilitator phải trả phí Gas phát sinh. Trên Solana, kẻ tấn công thậm chí có thể dụ facilitator thanh toán tiền thuê cho tài khoản mà kẻ tấn công kiểm soát.

Thanh toán bằng thẻ tín dụng cũng tách biệt ủy quyền và trừ tiền. Sự khác biệt là, ngân hàng phát hành sẽ giữ lại một phần hạn mức tín dụng hoặc tiền của chủ thẻ khi ủy quyền. Các quy tắc mạng sau đó cung cấp cho thương gia một mức độ chắc chắn trong thanh toán. Nếu có vấn đề, vẫn có thể hủy ủy quyền, từ chối thanh toán, trừng phạt thương gia và quy trình giải quyết tranh chấp.

x402 không có ngân hàng phát hành để khóa tiền và đảm bảo thanh toán. Do đó, máy chủ kiểm tra khả năng thanh toán thông qua verify, thực hiện logic kinh doanh và sau đó gọi settle. Vấn đề là, hai đầu không chia sẻ trạng thái. Sau khi xác minh, số dư, nonce hoặc thời gian hiệu lực có thể thay đổi. Nếu máy chủ thực hiện một thao tác không thể đảo ngược trước khi thanh toán, thương gia có thể chịu tổn thất. Nếu facilitator gửi giao dịch bị thao túng, nó có thể mất Gas hoặc tài sản mà nó kiểm soát.

Mạng thẻ đã chịu chi phí lòng tin này thông qua vốn và đội ngũ quản lý rủi ro của ngân hàng phát hành, và sau đó thu hồi qua phí dịch vụ. x402 đã loại bỏ vai trò đó nhưng không loại bỏ chi phí.

Vì vậy, liệu con đường thực tế có cần xây dựng một lớp trách nhiệm trên giao thức mở không?

Tại đây, việc tập trung không có nghĩa là giao toàn bộ giao thức x402 cho một bên vận hành duy nhất. Mỗi tuyến thanh toán nên có một chủ thể trách nhiệm rõ ràng. Nhiều bên vận hành vẫn có thể cạnh tranh dưới cùng một tiêu chuẩn mở, và người dùng cũng có thể chuyển đổi facilitator. Cấu trúc này tập trung trách nhiệm vận hành trong khi vẫn giữ tính mở của giao thức và sự cạnh tranh giữa các nhà cung cấp.

Cổng Monetization của Cloudflare là một ví dụ khả thi. Nó giữ lại định dạng thanh toán có thể lập trình của x402, trong khi xử lý chính sách thanh toán, xác minh và kiểm soát truy cập ở một lớp kiểm soát duy nhất. Một con đường khác là sử dụng facilitator chuyên nghiệp, cung cấp thỏa thuận mức dịch vụ, giới hạn Gas, xác minh lại trước khi thanh toán và phản ứng sự kiện.

ERC-8004 và hệ thống danh tiếng dường như cung cấp các giải pháp thay thế. Nhưng danh tiếng chỉ là tín hiệu bổ sung để đánh giá rủi ro, nó không giữ lại vốn và không cung cấp đảm bảo thanh toán. Tôi cho rằng chỉ dựa vào danh tiếng không thể lấp đầy khoảng trống trách nhiệm.

Quan điểm này cũng yêu cầu xem xét lại vai trò và cấu trúc của lớp phát hiện. Lớp này có thể vượt ra ngoài việc chỉ liệt kê các dịch vụ có sẵn, trở thành lớp lòng tin và định tuyến, lọc ra những tài nguyên và facilitator nào đáp ứng các tiêu chuẩn an toàn đã định. Nếu cần đảm bảo thanh toán, nó có thể phân biệt rõ ràng giữa các bên vận hành tập trung cung cấp đảm bảo và tuyến thanh toán. Từ góc độ này, có hai người chơi chính đáng chú ý:

Chiến lược tích hợp của CDP (@CoinbaseDev) kết hợp Wallet Agentic, Facilitator CDP và Bazaar lại với nhau, cung cấp chức năng ví, thanh toán, tuân thủ và phát hiện trong một ngăn xếp công nghệ.

Chiến lược tích hợp của Orthogonal (@orthogonal_sh) kết hợp phát hiện dịch vụ, hồ bơi khóa API, tiêu chuẩn hóa phản hồi và lập hóa đơn trong một tài khoản, một số dư và một hóa đơn. Nó hỗ trợ credits, x402 và MPP. Điều này đưa sự phức tạp trong việc quản lý nhiều nhà cung cấp và phương thức thanh toán vào một cổng trung tâm.

Những chiến lược này hiện tại vẫn chưa nói đến đảm bảo thanh toán hoặc hấp thụ tổn thất. Nhưng chúng đã đặt các chức năng ví, xác minh, lập hóa đơn và phát hiện phân mảnh dưới một bên vận hành duy nhất, tạo nền tảng cho một lớp trách nhiệm tập trung.

Nếu lớp trách nhiệm tập trung trở nên phổ biến, cấu trúc thanh toán bản thân cũng có thể thay đổi. Một mô hình khả thi là thay thế verify → logic kinh doanh → settle bằng verify → settle → logic kinh doanh.

Thứ tự hiện tại bảo vệ người tiêu dùng, với điều kiện thanh toán không thể đảo ngược. Một khi bên vận hành chấp nhận trách nhiệm hoàn tiền và xử lý tranh chấp, giả định này sẽ thay đổi. Có thể xác nhận thanh toán trước, loại bỏ rủi ro chưa thanh toán cho thương gia. Nếu việc thực hiện sau đó thất bại, bên vận hành có thể hoàn tiền cho người tiêu dùng. Bên vận hành sẽ phải chịu trách nhiệm về nhu cầu thanh khoản và nghĩa vụ thanh toán trước khi thanh toán cuối cùng, điều này làm cho cấu trúc vốn và trách nhiệm của họ trở nên quan trọng hơn.

Mô hình này không tuân theo quy trình thanh toán từng giao dịch hiện tại của x402. x402 sẽ tiếp tục hoạt động như một giao diện mở để truyền đạt các điều khoản thanh toán và dữ liệu ủy quyền. Bên vận hành sẽ tổng hợp dòng tiền thực tế và hoàn tất thanh toán cuối cùng trên chuỗi. Hồ sơ thanh toán từng giao dịch sẽ được lưu giữ trong sổ cái nội bộ của bên vận hành, trong khi blockchain ghi lại thanh toán cuối cùng đã tổng hợp. Bởi vì sổ cái nội bộ có thể đảo ngược, cấu trúc này giảm thiểu vấn đề thanh toán không thể đảo ngược. Bên vận hành cũng có thể xử lý hoàn tiền và tranh chấp như ngân hàng phát hành.

Có thể có người hỏi:

Điều này không phải là biến blockchain thành một cơ sở dữ liệu thanh toán chia sẻ sao?

Đúng vậy.

Nói chính xác hơn, blockchain sẽ trở thành sổ cái thanh toán chia sẻ ghi lại số dư cuối cùng giữa các bên vận hành. Thanh toán từng giao dịch sẽ được giữ lại bên ngoài chuỗi. Ít nhất trong thị trường này, việc đóng vai trò đáng tin cậy như vậy có thể đã đủ. Hệ thống vẫn có thể tận dụng lợi thế của chi phí thanh toán thấp và tiền tệ có thể lập trình.

Nội dung này chỉ được đưa ra nhằm mục đích cung cấp thông tin chung, không phải là lời khuyên về tài chính, đầu tư, pháp lý hoặc thuế. Mọi sự kiện, phần thưởng, ưu đãi trực tuyến hoặc thông tin liên quan được đề cập trong nội dung này không được xem là khuyến nghị, chào mời hoặc lời mời mua, bán, giao dịch hoặc thực hiện bất kỳ hoạt động nào khác liên quan đến tài sản crypto. Tài sản crypto có độ biến động cao và có thể dẫn đến thua lỗ.Tính khả dụng của các dịch vụ, sản phẩm và sự kiện liên quan của WEEX có thể khác nhau tùy theo khu vực. Bạn có trách nhiệm bảo đảm việc tham gia của mình tuân thủ các luật và quy định hiện hành tại địa phương.