31 Kekurangan Keamanan Membuat 99% Pembayaran Kripto x402 Terekspos pada Pencurian dan Penipuan

• Para peneliti menemukan 31 kekurangan pada 15 fasilitator yang menangani 99% pembayaran x402 yang diamati.
• Tes yang dikonfirmasi mengungkap belanja gratis, penyalahgunaan gas, dan jalur pencurian ERC-6492 yang terbatas.
• Lebih dari $202.000 biaya terkait dengan penyelesaian x402 di Base dan Solana.

Sebuah studi keamanan telah mengungkap 31 kerentanan yang sebelumnya tidak diketahui di antara 15 fasilitator yang mendukung pembayaran x402. Bersama-sama, fasilitator-fasilitator tersebut menangani 99% transaksi yang diamati dan 98% volume yang tercatat.

Namun, para peneliti tidak mengklaim bahwa 99% pembayaran individu dieksploitasi. Sebaliknya, temuan menunjukkan bahwa layanan yang diuji menghubungkan 60.000 penjual dengan 360.000 pembeli, sementara setiap fasilitator melanggar setidaknya satu aturan keamanan.

Kekurangan Fasilitator Menciptakan Risiko Keamanan X402 Seluruh Sistem

Perlu dicatat, x402 mengadaptasi respons internet HTTP 402 “Payment Required” untuk situs web, API, dan agen perangkat lunak otonom. Dalam sistem ini, pembeli menyerahkan bukti pembayaran yang telah ditandatangani sebelum mendapatkan akses ke layanan yang dilindungi.

Fasilitator kemudian memverifikasi bukti tersebut, menyiapkan transaksi blockchain, dan menyiarkan penyelesaian secara on-chain. Karena mereka sering mensponsori biaya jaringan, pedagang dapat menerima pembayaran blockchain tanpa harus mempertahankan infrastruktur sendiri.

Untuk menilai keamanan proses ini, peneliti dari EPFL, Universitas Zhejiang, dan seorang kontributor independen mengembangkan x402Scope. Sistem pengujian kotak hitam ini memeriksa kontrol otorisasi, kesegaran bukti, keamanan penyelesaian, dan biaya transaksi.

Analisis mereka mengidentifikasi 49 pelanggaran aturan, yang dikelompokkan menjadi 31 kerentanan yang berbeda. Kelemahan ini terbagi menjadi empat kategori: belanja gratis, pencurian aset, penolakan layanan, dan penyalahgunaan gas.

Kekurangan belanja gratis dapat memungkinkan pedagang untuk merilis layanan sebelum pembayaran berhasil diselesaikan. Sementara itu, jalur pencurian aset dapat memungkinkan instruksi yang dikendalikan penyerang yang melibatkan aset yang dikelola oleh fasilitator.

Kelemahan penolakan layanan juga dapat menyebabkan kegagalan berulang atau transaksi yang membutuhkan banyak sumber daya. Selain itu, serangan penyalahgunaan gas dapat membuat fasilitator bertanggung jawab atas biaya blockchain yang berlebihan.

Menurut studi tersebut, para peneliti mengonfirmasi dua kasus belanja gratis, tiga jalur penyalahgunaan gas, dan satu skenario pencurian aset ERC-6492 terbatas. Namun, uji pencurian terkontrol hanya melibatkan persetujuan simbolis, dan tidak ada aset yang dipindahkan.

Data On-Chain Mengungkapkan Penyelesaian Gagal dan Meningkatnya Paparan Biaya

Untuk menilai eksposur biaya yang lebih luas, tim meninjau 119 juta transaksi Base dan Solana yang tercatat antara 1 Oktober dan 26 Desember 2025. Base mencatat 1,86 juta transaksi yang dibatalkan, mewakili tingkat kegagalan sebesar 1,99%.

Sebagai perbandingan, Solana mencatat 5.148 revert, setara dengan hanya 0,018%. Di kedua jaringan, upaya penyelesaian terkait x402 menghabiskan lebih dari $202.000 biaya transaksi. Dari total itu, sekitar $5.800 dikaitkan dengan pengajuan yang telah dibatalkan.

Namun demikian, para peneliti tidak menemukan bukti yang membuktikan bahwa aktivitas jahat menyebabkan kegagalan historis tersebut. Tim tersebut mengungkapkan temuan mereka kepada 14 operator yang terdampak pada Januari 2026. Pada 6 Februari, Coinbase, PayAI, dan Mogami secara kolektif mengakui enam kerentanan.

Meskipun beberapa kelemahan telah diperbaiki, yang lain masih dalam proses tinjauan. Oleh karena itu, para peneliti menahan pemetaan spesifik vendor dan detail eksploitasi teknis, karena beberapa kerentanan belum diperbaiki.

Untuk mengurangi risiko di masa depan, makalah tersebut merekomendasikan untuk mengonfirmasi penyelesaian sebelum memberikan layanan. Laporan ini juga menyarankan daftar izin transaksi yang ketat, membatasi biaya sponsor, kontrol nonce, pemeriksaan tenggat waktu, dan penolakan pembayaran nilai nol.

Terkait: Ledger Mengungkap Potensi Kekurangan Keamanan di Dompet Trezor