Ловушка доверия открытых протоколов: зачем x402 нужен централизованный уровень ответственности?

Протокол платежей x402 раскрыл 31 новую уязвимость, 99% транзакций подвержены риску кражи активов.

Автор: @Jun__Yoo

Перевод: AididiaoJP, Foresight News

Недавно Акба из CryptoSlate (@akibablade) опубликовал статью с заголовком «31 новая уязвимость ставит под угрозу 99% криптоплатежей x402, подвергая риску кражу активов и бесплатные покупки».

Эта статья основана на работе под названием «Когда HTTP 402 встречает блокчейн: риски нового x402 платежа». Эта работа была принята и будет опубликована на конференции USENIX Security 2026.

В статье подробно рассматривается, как x402 делегирует проверку платежей и расчет на третьих лиц — facilitator (платежные посредники). Эта конструкция сосредоточивает доверие и логику проверки на общей платежной инфраструктуре, используемой несколькими независимыми торговцами. Если у какого-либо facilitator возникнет уязвимость, это может повлиять на множество услуг.

Исследователи также определили восемь правил безопасности, которым должны следовать facilitator. Нарушение этих правил может привести к четырем типам атак: бесплатные покупки, кража активов, отказ в обслуживании и злоупотребление Gas. Они оценили 15 основных facilitator и обнаружили 49 нарушений правил и 31 ранее неизвестную уязвимость. Результаты исследования были конфиденциально переданы соответствующим операторам. Некоторые проблемы были исправлены, а остальные находятся в процессе устранения.

Это исследование стало возможным благодаря тому, что x402 изначально разрабатывался как открытый протокол. Его спецификации и справочный SDK являются общедоступными, что позволило исследователям вывести правила безопасности платежного процесса. Они использовали открытый SDK и собственные тестовые магазины для завершения исследования.

Открытость не устраняет уязвимости, но предоставляет путь для превращения обнаруженных внешних дефектов в общие стандарты безопасности. Протокол x402 был передан Фонду Linux 2 апреля, а Фонд x402 официально начал свою работу 14 июля, имея 40 членов. Это создало официальный форум для обсуждения результатов на уровне спецификаций и эталонных реализаций, а не ограничивалось патчами одного поставщика.

Исследователи также выпустили публичную версию x402scope, из которой были удалены чувствительные эксплойты. Они обсуждают с Coinbase и другими основными участниками экосистемы, как интегрировать проверку правил в процесс верификации перед разработкой и развертыванием.

Обсуждение зрелости протокола на этом заканчивается. Я хотел бы задать более основной вопрос, исходя из этих открытий.

Вместо того чтобы централизовать сам x402, нужен ли открытому протоколу централизованный уровень ответственности для принуждения к соблюдению стандартов проверки и покрытия затрат и убытков, связанных с инцидентами безопасности?

Централизация не равнозначна безопасности. Но в области платежей сторона, обладающая властью, также должна нести цену за неудачи.

Посмотрим, как на самом деле работает x402. Любой может управлять сервером или стать facilitator. Но система не является полностью бездоверительной. В статье также определяется facilitator как «посредник, принимающий на себя доверие». Как только проверка и расчет делегируются, пользователи должны вложить значительную степень доверия в facilitator.

Проблема в том, что доверие сосредоточено, но протокол не требует соответствующего капитала, механизмов ответственности или определенности платежей. Этот пробел проявляется в трех аспектах дизайна.

Во-первых, verify (проверка) больше похоже на прогноз «в этот момент расчет все еще возможен», а не на авторизацию кредитной карты. Он проверяет подписи, балансы, nonce и время истечения, но не блокирует средства и не расходует nonce.

Во-вторых, разделение verify → бизнес-логика → settle (расчет) изначально предназначено для защиты потребителей и торговцев. Протокол не имеет механизма, который связывает проверку и расчет через совместное состояние. Если торговец принимает меры на основе результатов проверки facilitator, а последующий расчет оказывается неудачным, торговец несет все убытки.

В-третьих, многие facilitator будут спонсировать затраты на расчет в цепочке. Злоумышленники могут манипулировать путем выполнения, заставляя facilitator оплачивать возникающие Gas-расходы. На Solana злоумышленник может даже заставить facilitator заплатить аренду за счет аккаунта, контролируемого злоумышленником.

Платежи по кредитным картам также разделяют авторизацию и списание. Разница в том, что эмитент карты резервирует часть кредитного лимита или средств держателя карты во время авторизации. Правила сети затем предоставляют торговцам определенную степень уверенности в платежах. Если возникают проблемы, доступны процедуры отмены авторизации, оспаривания, санкций против торговцев и разрешения споров.

x402 не имеет эмитента карты, чтобы заблокировать средства и гарантировать платеж. Серверы, следовательно, проверяют возможность платежа через verify, выполняют бизнес-логику, а затем вызывают settle. Проблема в том, что две стороны не делят состояние. После проверки баланс, nonce или срок действия могут измениться. Если сервер выполняет необратимую операцию до расчета, торговец может понести убытки. Если facilitator подает манипулируемую транзакцию, он может потерять Gas или активы, которые он контролирует.

Сетевые карты берут на себя эти затраты доверия через капитал эмитента и команды управления рисками, а затем возвращают их через комиссии. x402 убрал эту роль, но не убрал затраты.

Таким образом, нужно ли на самом деле создавать уровень ответственности над открытым протоколом?

Централизация здесь не означает передачи всего протокола x402 одному оператору. Каждый маршрут платежа должен иметь четко определенного ответственного субъекта. Несколько операторов все еще могут конкурировать в рамках одного открытого стандарта, и пользователи могут переключаться между facilitator. Эта структура сосредоточивает операционную ответственность, сохраняя при этом открытость протокола и конкуренцию между поставщиками.

Monetization Gateway от Cloudflare является возможным примером. Он сохраняет программируемый формат платежей x402, одновременно обрабатывая стратегии платежей, проверки и контроля доступа на едином уровне управления. Другой путь — использовать специализированных facilitator, предлагающих соглашения об уровне обслуживания, лимиты Gas, повторную проверку перед расчетом и реагирование на инциденты.

ERC-8004 и репутационные системы, кажется, предлагают альтернативные решения. Но репутация — это всего лишь дополнительный сигнал для оценки рисков, который не резервирует средства и не предоставляет гарантии платежа. Я считаю, что одной лишь репутации недостаточно, чтобы заполнить пробел в ответственности.

Эта перспектива также требует пересмотра роли и структуры уровня обнаружения. Этот уровень может выходить за рамки простого перечисления доступных услуг, становясь уровнем доверия и маршрутизации, фильтруя, какие ресурсы и facilitator соответствуют установленным стандартам безопасности. Если требуется гарантия платежа, он может четко различать централизованных операторов, предоставляющих гарантии, и маршруты платежей. С этой точки зрения есть два ключевых игрока, на которых стоит обратить внимание:

Стратегия интеграции CDP (@CoinbaseDev) объединяет Agentic Wallet, CDP Facilitator и Bazaar, предоставляя функции кошелька, платежей, соблюдения и обнаружения в одном технологическом стеке.

Стратегия интеграции Orthogonal (@orthogonal_sh) объединяет обнаружение услуг, пул API-ключей, стандартизацию ответов и унификацию выставления счетов в одном аккаунте, одном балансе и одном счете. Она поддерживает credits, x402 и MPP. Это помещает сложность управления несколькими поставщиками и способами платежей в центральный шлюз.

Эти стратегии пока не предлагают гарантию платежа или поглощение убытков. Но они помещают фрагментированные функции кошелька, проверки, выставления счетов и обнаружения под управление одного оператора, создавая основу для централизованного уровня ответственности.

Если централизованный уровень ответственности станет распространенным, сама структура платежей может измениться. Одна из возможных моделей — заменить verify → бизнес-логика → settle на verify → settle → бизнес-логика.

Текущий порядок защищает потребителей при условии, что расчет необратим. Как только оператор принимает на себя ответственность за возвраты и разрешение споров, это предположение изменится. Можно сначала подтвердить расчет, устранив риск неоплаченных счетов для торговца. Если последующее выполнение не удается, оператор может вернуть деньги потребителю. Оператор должен будет нести ответственность за потребности в ликвидности и обязательства по расчетам до окончательного расчета, что делает его капитал и структура ответственности более важными.

Эта модель не соответствует текущему процессу расчетов x402 по каждой транзакции. x402 продолжит функционировать как открытый интерфейс для передачи условий платежа и данных авторизации. Операторы будут агрегировать фактические денежные потоки и завершать окончательные расчеты в цепочке. Запись каждой транзакции будет храниться в внутренней бухгалтерии оператора, а блокчейн будет фиксировать агрегированные окончательные расчеты. Поскольку внутренняя бухгалтерия обратима, эта структура снижает проблемы необратимых платежей. Операторы также могут обрабатывать возвраты и споры, как эмитенты карт.

Некоторые могут задать вопрос:

Разве это не означает, что блокчейн становится общим платежным базой данных?

Да.

Точнее, блокчейн станет общим расчетным реестром для записи окончательных остатков между операторами. Каждая транзакция останется вне цепочки. По крайней мере, в этом рынке надежно выполнять эту роль может быть достаточно. Система все еще может воспользоваться преимуществами низких затрат на расчеты и программируемых денег.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.