Coinbase와 14개 x402 퍼실리테이터, 보안 테스트 통과 실패

핵심 포인트

연구진은 Coinbase, Thirdweb, PayAI, Mogami를 포함한 x402 퍼실리테이터 15곳을 테스트했으며, 모든 플랫폼에서 최소 한 가지 보안 규칙 위반을 발견했다. 연구진은 관찰된 x402 거래의 99%와 결제 규모의 98%를 처리한 시스템 전반에서 49건의 위반을 31개 취약점으로 분류했다. 또한 제한된 조건에서 6개의 공격 경로를 검증했다. 여기에는 대금이 지급되지 않은 서비스 제공, 수수료 대납 악용, 퍼실리테이터가 보유한 자산의 노출을 가능하게 할 수 있는 공격이 포함됐다. Coinbase의 공식 레퍼런스 서버 키트 7개에는 검증 성공 후 제공된 서비스를 되돌릴 수 있는 명시적 메커니즘이 없었다. 또한 버전 0.2.1까지의 Coinbase Flask 키트는 결제가 최종 완료되기 전에 보호된 리소스를 제공할 수 있었다.

시장 심리

신중한 약세, 기술 주도, 위험 축소.

이유: 연구진은 테스트한 모든 x402 퍼실리테이터에서 보안 취약점을 확인했다.

유사 과거 사례

이러한 유형의 결제 인프라 보안 발견은 일반적으로 결제 완료 통제에 대한 감시를 강화하고, 제공업체가 수정 사항을 배포할 때까지 광범위한 도입을 지연시킨다. 이번 사례는 x402 퍼실리테이터가 수수료를 대납하고 결제 완료 과정에서 구매자와 판매자 사이에 위치한다는 점에서 다를 수 있다.

파급 효과

퍼실리테이터가 결제 완료 전에 결제 조건을 다시 확인하지 않으면, 판매자는 되돌릴 수 없는 서비스를 제공한 뒤 결제 실패에 직면할 수 있다. 대납 거래 비용에 상한이 계속 설정되지 않으면, 반복적인 결제 완료 시도로 영향을 받는 퍼실리테이터의 운영 비용이 증가할 수 있다.

기회와 리스크

기회: 퍼실리테이터가 수정 사항을 확인하는지, 판매자가 서버 키트를 업데이트하는지 지켜본다. 일관된 결제 완료 확인은 x402 서비스의 결제 최종성 리스크를 줄일 수 있다.

리스크: 제공업체가 실제 운영 시스템에 영향을 준 취약점을 공개하는지 지켜본다. 오래된 소프트웨어를 계속 사용하면 퍼실리테이터 측의 수정 이후에도 판매자가 위험에 노출될 수 있다.