When HTTP 402 Meets the Blockchain: Risks on Emerging x402 Payments
Dieses Paper präsentiert die erste systematische Sicherheitsanalyse des aufkommenden x402-Zahlungsprotokolls, die kritische Schwachstellen in allen 15 evaluierten Facilitators aufdeckt, welche schwere Angriffe wie Diebstahl von Vermögenswerten und Dienstverweigerung ermöglichen, während gleichzeitig ein Detektionswerkzeug vorgeschlagen und branchenweite Abhilfemaßnahmen im Anschluss an die verantwortungsbewusste Offenlegung dokumentiert werden.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich das Internet als einen riesigen, geschäftigen Marktplatz vor, auf dem Roboter (genannt KI-Agenten) beginnen, nach Dienstleistungen einzukaufen. Diese Roboter sind klug genug, um eine Website zu finden, zu entscheiden, dass sie ein bestimmtes Stück Daten benötigen, und sogar automatisch dafür zu bezahlen. Aber wie bezahlen sie? Hier kommt x402 ins Spiel, ein neues digitales Zahlungsprotokoll, das speziell für diese Roboter-Shopper entwickelt wurde. Betrachten Sie x402 als einen digitalen Türsteher in einem Club. Wenn ein Roboter versucht, einen VIP-Raum (eine geschützte Website) zu betreten, prüft der Türsteher nicht nur eine Eintrittskarte; er prüft ein digitales Zahlungsversprechen.
Der Türsteher hält jedoch nicht das Geld selbst. Stattdessen verlässt er sich auf einen Facilitator – einen vertrauenswürdigen Vermittler, der wie ein universeller Zahlungsabwickler fungiert. Der Roboter gibt dem Türsteher ein Versprechen, der Türsteher fragt den Facilitator: „Ist dieses Versprechen echt?“ Der Facilitator prüft die Blockchain (ein öffentliches, unveränderliches digitales Kassenbuch) und sagt: „Ja, das Geld ist da“ oder „Nein, es ist gefälscht“. Wenn der Facilitator mit Ja antwortet, erhält der Roboter die Dienstleistung. Das Problem ist: Wenn dieser Vermittler verwirrt wird, gehackt wird oder einen Fehler macht, könnte er tausende Roboter eintreten lassen, ohne dass diese bezahlen, Geld stehlen oder versehentlich eine Kettenreaktion auslösen, die alle durch Transaktionsgebühren ein Vermögen kostet.
Dieses Paper ist eine Sicherheitsuntersuchung dieser digitalen Vermittler. Die Forscher, ein Team von Sicherheitsexperten, beschlossen zu prüfen, ob die im echten Einsatz befindlichen Facilitator sind tatsächlich ihre Aufgaben korrekt erfüllen. Sie entwickelten ein spezielles Testwerkzeug namens X402SCOPE, um 15 der größten Facilitator des Ökosystems zu testen und zu prüfen. Sie betrachteten diese nicht nur durch den Code (da viele dieser Tools geheime „Black Boxes“ sind), sondern agierten wie Hacker, die versuchen, das System auszutricksen.
Was sie fanden, war alarmierend. Jeder der 15 getesteten Facilitator wies mindestens eine Sicherheitslücke auf. Sie entdeckten vier Hauptwege, wie böswillige Akteure das System brechen könnten:
- Gratis-Shopping: Roboter könnten die Dienstleistung erhalten, ohne tatsächlich zu bezahlen, weil das System sie hereinließ, bevor die Zahlung vollständig bestätigt war.
- Vermögensdiebstahl: In einigen Fällen konnte der Vermittler dazu verleitet werden, sein eigenes Geld an den Dieb zu senden anstatt an den Händler.
- Dienstverweigerung: Angreifer könnten das System mit gefälschten Anfragen überfluten, was dazu führt, dass der Vermittler sein eigenes Geld für Transaktionsgebühren verschwendet und so den Dienst effektiv für alle anderen abschaltet.
- Gas-Missbrauch: Angreifer könnten den Vermittler dazu zwingen, enorme, unnötige Gebühren für komplexe, nutzlose Transaktionen zu zahlen.
Die Forscher testeten diese Theorien auf echten Netzwerken (Base und Solana) und fanden heraus, dass diese Mängel nicht nur theoretisch sind. Sie berechneten, dass aufgrund dieser Fehler bereits über 202.000 $ an Transaktionsgebühren für fehlgeschlagene oder rückgängig gemachte Zahlungen verschwendet wurden. Sie haben diese Probleme verantwortungsbewusst den Unternehmen gemeldet, die die Facilitator betreiben, darunter große Namen wie Coinbase. Die Unternehmen haben die Probleme bestätigt und arbeiten an Lösungen. Das Paper kommt zu dem Schluss, dass x402 zwar eine coole neue Technologie für das Einkaufen der KI ist, aber derzeit auf einem wackeligen Fundament steht. Bis diese Vermittler gegen diese spezifischen Tricks gehärtet sind, bleibt das System anfällig für Chaos, Diebstahl und finanziellen Verlust.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.