- Die Forscher fanden 31 Fehler bei 15 Facilitatoren, die 99 % der beobachteten x402-Zahlungen abwickelten.
- Bestätigte Tests zeigten kostenloses Einkaufen, Benzinmissbrauch und einen begrenzten Diebstahlpfad von ERC-6492.
- Mehr als 202.000 Dollar an Gebühren waren an x402-Siedlungen in Base und Solana gebunden.
Eine Sicherheitsstudie hat 31 zuvor unbekannte Schwachstellen bei 15 Facilitatoren, die x402-Zahlungen unterstützen, aufgedeckt. Gemeinsam bearbeiteten diese Facilitatoren 99 % der beobachteten Transaktionen und 98 % des aufgezeichneten Volumens.
Die Forscher behaupteten jedoch nicht, dass 99 % der Einzelzahlungen ausgenutzt wurden. Stattdessen zeigen die Ergebnisse , dass die getesteten Dienste 60.000 Verkäufer mit 360.000 Käufern verbanden, während jeder Vermittler mindestens eine Sicherheitsregel verletzte.
Facilitator-Fehler schaffen ein systemweites x402-Sicherheitsrisiko
Bemerkenswert ist, dass x402 die HTTP-402-Antwort „Payment Required“ des Internets für Websites, APIs und autonome Softwareagenten adaptiert. In diesem System reichen Käufer unterschriebene Zahlungsnachweise ein, bevor sie Zugang zu geschützten Diensten erhalten.
Die Facilitatoren überprüfen dann diese Beweise, bereiten Blockchain-Transaktionen vor und übertragen Abwicklungen in der Kette. Da sie oft Netzwerkgebühren übernehmen, können Händler Blockchain-Zahlungen akzeptieren, ohne ihre eigene Infrastruktur pflegen zu müssen.
Um die Sicherheit dieses Prozesses zu bewerten, entwickelten Forscher der EPFL, der Zhejiang University und ein unabhängiger Mitarbeiter x402Scope. Das Black-Box-Testsystem untersuchte Autorisierungskontrollen, Beweisfrische, Abwicklungssicherheit und Transaktionskosten.
Ihre Analyse identifizierte 49 Regelverstöße, die in 31 verschiedene Schwachstellen gruppiert wurden. Diese Schwächen fielen in vier Angriffsklassen: Free Shopping, Vermögensdiebstahl, Serviceverweigerung und Gasmissbrauch.
Fehlern bei Free-Shopping könnten es Händlern ermöglichen, Dienste freizugeben, bevor die Zahlungen erfolgreich abgewickelt sind. Unterdessen könnten Pfade zum Diebstahl von Vermögenswerten von Angreifern kontrollierte Anweisungen erlauben, die von Vermittlern verwaltete Vermögenswerte betreffen.
Service-Denial-Schwächen können ebenfalls wiederholte Ausfälle oder ressourcenintensive Transaktionen verursachen. Darüber hinaus können Gasmissbrauchsangriffe die Facilitatoren für übermäßige Blockchain-Gebühren verantwortlich machen.
Laut der Studie bestätigten die Forscher zwei Fälle von Free-Shopping, drei Gasmissbrauchspfade und ein begrenztes ERC-6492-Szenario mit Diebstahl von Vermögenswerten. Der Test des kontrollierten Diebstahls beinhaltete jedoch nur eine symbolische Genehmigung, und es wurden keine Vermögenswerte übertragen.
On-Chain-Daten zeigen fehlgeschlagene Abwicklungen und steigende Gebührenbelastung
Um die breitere Kostenbelastung zu bewerten, überprüfte das Team 119 Millionen Base- und Solana-Transaktionen, die zwischen dem 1. Oktober und dem 26. Dezember 2025 verzeichnet wurden. Base verzeichnete 1,86 Millionen rückgängige Transaktionen, was einer Ausfallrate von 1,99 % entspricht.
Zum Vergleich: Solana verzeichnete 5.148 Rückgänge, was nur 0,018 % entspricht. In beiden Netzwerken verbrauchten x402-bezogene Vergleichsversuche mehr als 202.000 US-Dollar an Transaktionsgebühren. Davon wurden etwa 5.800 US-Dollar mit zurückgesetzten Einreichungen verknüpft.
Dennoch fanden Forscher keine Hinweise darauf, dass böswillige Aktivitäten diese historischen Fehler verursachten. Das Team veröffentlichte seine Ergebnisse im Januar 2026 an 14 betroffene Betreiber. Bis zum 6. Februar hatten Coinbase, PayAI und Mogami gemeinsam sechs Schwachstellen anerkannt.
Obwohl einige Schwächen behoben wurden, wurden andere weiterhin überprüft. Daher hielten die Forscher herstellerspezifische Kartierungen und technische Exploit-Details zurück, da mehrere Schwachstellen noch nicht behoben waren.
Um zukünftige Risiken zu verringern, empfahl das Papier, die Abwicklung vor der Erbringung der Dienstleistungen zu bestätigen. Es empfahl außerdem strenge Transaktions-Allowlists, gedeckte gesponserte Gebühren, Nonce-Kontrollen, Fristkontrollen und die Ablehnung von Null-Wert-Zahlungen.
Verwandt: Ledger deckt potenzielle Sicherheitslücke in Trezor-Wallets auf
Disclaimer: The information presented in this article is for informational and educational purposes only. The article does not constitute financial advice or advice of any kind. Coin Edition is not responsible for any losses incurred as a result of the utilization of content, products, or services mentioned. Readers are advised to exercise caution before taking any action related to the company.
