Pesquisa apresentada no 35º USENIX Security Symposium revelou que 15 facilitadores de pagamento x402, incluindo Coinbase, Thirdweb, PayAI e Mogami, violaram ao menos uma regra de segurança. Os sistemas concentram 99% das transações observadas e podem estar expostos a ataques capazes de causar prejuízos diretos a lojistas, roubo de ativos de facilitadores e abuso de taxas de rede.
O estudo mapeou 49 violações de regras, consolidadas em 31 vulnerabilidades, e validou seis caminhos de ataque. Entre eles, estão duas formas de "free shopping", três de abuso de gás e uma que pode expor fundos mantidos por facilitadores.
Risco de exposição de ativos
A vulnerabilidade mais grave envolve o padrão ERC-6492, usado para assinaturas de carteiras de contrato inteligente. De acordo com os pesquisadores, metadados maliciosos podem induzir um facilitador a enviar uma transação arbitrária de aprovação de tokens, em vez do pagamento esperado. A falha foi classificada como um caminho direto para roubo de ativos.
Os pesquisadores também validaram ataques que exploram a capacidade de facilitadores patrocinarem taxas de transação em nome de lojistas. Nesses casos, o atacante pode forçar a execução de implantações de contratos caras, transferindo custos de rede potencialmente ilimitados para o facilitador.
Free shopping e kits da Coinbase
Outro grupo de falhas permite que compradores recebam produtos sem pagar. Uma transação x402 pode passar pela verificação fora da cadeia, mas falhar ao ser confirmada no blockchain, por exemplo, por autorização expirada ou fundos insuficientes. Se o lojista liberar um serviço irreversível imediatamente após a verificação, o comprador pode ficar com o produto sem pagamento.
A pesquisa aponta que os sete kits de referência oficiais do servidor Coinbase examinados não tinham mecanismos explícitos para reverter ações após uma verificação bem-sucedida. Em versões do Flask kit até 0.2.1, recursos protegidos podiam ser liberados independentemente de o pagamento ser concluído.
A análise cobriu mais de 119 milhões de transações x402 nas redes Base e Solana entre 1º de outubro e 26 de dezembro de 2025. Os facilitadores gastaram cerca de US$ 202 mil em taxas de rede, incluindo aproximadamente US$ 5,8 mil em transações na Base que reverteram ou falharam.
Coinbase foi o maior facilitador, com 77,17 milhões de transações e quase US$ 27 milhões em volume de pagamentos. Mais de 93% dos cerca de 53,5 mil servidores únicos observados estavam associados a um único facilitador, o que amplia o impacto de uma falha.
Os pesquisadores afirmaram que Coinbase, PayAI e Mogami confirmaram seis vulnerabilidades, com algumas já corrigidas e outras em andamento. O estudo não mapeou publicamente quais vulnerabilidades afetavam cada facilitador.
Como recomendações, os pesquisadores sugerem tratar todos os campos de transação fornecidos pelo cliente como não confiáveis, reavaliar as condições de pagamento imediatamente antes da liquidação e impor limites rígidos aos custos de gás patrocinados. Para lojistas, a orientação é reter serviços irreversíveis até a confirmação do pagamento ou manter mecanismos de reversão.
