セキュリティ調査で15のx402決済ファシリテーターに31件の脆弱性が判明

セキュリティ調査により、プログラム可能な決済向けのHTTPネイティブ標準であるx402で使われる主要な15のファシリテーターに、これまで知られていなかった31件の脆弱性が見つかった。検証対象のグループは調査期間中に観測された取引の99%を占めていた。研究チームによると、すべてのファシリテーターが決済検証または清算に関する8つのルールのうち少なくとも1つに違反しており、49件の違反事例は「フリーショッピング」「資産窃取」「サービス拒否」「ガス悪用」の4つの攻撃類型に分類された。論文は、今回の結果がすべてのx402決済に脆弱性があったこと、すべてのファシリテーターがあらゆる方法で悪用可能だったこと、あるいはCoinbaseが侵害されたことを意味するものではないとしている。 ファシリテーターはx402の中間層として機能し、クライアントの署名済み支払い証明を確認し、清算を構築してブロードキャストし、多くの場合はネットワーク手数料も肩代わりする。加盟店は保護されたサービスをいつ提供するかを判断する際に、この応答に依存する。調査では、検証対象のサーバーアドレスの93%以上が単一のファシリテーターのみに関連しており、この層に信頼がどれほど集中しているかが浮き彫りになった。 研究チームは2件のフリーショッピング事例をエンドツーエンドで実証し、さらに10件を高リスクと判断した。これは、加盟店が清算を待たずに検証後にサービスを提供した場合や、清算失敗時にロールバックしなかった場合に左右される。論文はさらに、3件のガス悪用事例と1件のERC-6492に基づく資産窃取経路を報告した。この概念実証では、チームはトークン承認を誘発したが、送金は行われず、資金も盗まれていない。 15のファシリテーターすべてで、高リスクのサービス拒否またはコスト増幅の経路が確認された。ただし研究チームは、ガス枯渇実験や可用性を低下させる負荷試験は実施しておらず、障害も確認していないと述べた。別途行ったアドレスベースの分析では、Baseとソラナの1億1900万件超の取引を調査し、2025年10月1日から12月26日までのガス代と手数料は約20万2000ドルと推計した。このうち約5800ドルはリバートに関連していた。 研究チームは1月に、影響を受けた15者のうち14者へ問題を開示した。2月6日時点で、Coinbase、PayAI、Mogamiは合計6件の脆弱性を認識し、一部の問題は修正済みで、他の問題は引き続き対応中だった。著者らは、加盟店は検証を清算と直接結び付け、nonceを確保し、時刻とアカウント状態を再確認し、ERC-1271およびERC-6492のトランザクション形式を厳格に許可リスト化し、肩代わりする手数料に上限を設け、不経済または清算不能な支払いを拒否すべきだとした。また、事前検証のみに依存せず、最終清算が確認された後にのみサービスを提供するか、明示的なロールバックロジックを実装するよう求めた。