When HTTP 402 Meets the Blockchain: Risks on Emerging x402 Payments
본 논문은 신흥 x402 결제 프로토콜에 대한 최초의 체계적인 보안 분석을 제시하며, 자산 탈취 및 서비스 거부와 같은 심각한 공격을 가능하게 하는 15개 평가 대상 퍼실리테이터 모두에서의 치명적인 취약점을 밝히는 동시에, 탐지 도구를 제안하고 책임 있는 공개 절차를 거친 업계 전반의 완화 조치들을 기록한다.
원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기
인터넷을 로봇(AI 에이전트)들이 서비스를 쇼핑하기 시작하는 거대하고 북적이는 시장이라고 상상해 보십시오. 이 로봇들은 스마트하여 특정 웹사이트를 찾아내고, 특정 데이터가 필요하다고 결정하며, 심지어 자동으로 결제까지 할 수 있습니다. 하지만 그들은 어떻게 결제할까요? 여기에 로봇 쇼퍼들을 위해 특별히 설계된 새로운 디지털 결제 프로토콜인 x402가 있습니다. x402를 클럽의 디지털 보안 요원(bouncer)이라고 생각해 보십시오. 로봇이 VIP 룸(보호된 웹사이트)에 들어가려고 할 때, 보안 요원은 단순히 티켓만 확인하는 것이 아니라 결제에 대한 디지털 약속을 확인합니다.
하지만 보안 요원이 직접 돈을 보유하지는 않습니다. 대신, 보편적인 결제 프로세서 역할을 하는 신뢰할 수 있는 중간자인 **퍼실리테이터(facilitator)**에 의존합니다. 로봇은 보안 요원에게 약속을 전달하고, 보안 요원은 퍼실리테이터에게 "이 약속이 진짜인가요?"라고 묻습니다. 퍼실리테이터는 블록체인(공개된, 변경 불가능한 디지털 장부)을 확인하고 "네, 돈이 있습니다" 또는 "아니요, 가짜입니다"라고 답합니다. 퍼실리테이터가 그렇다고 하면, 로봇은 서비스를 받게 됩니다. 문제는 이 중간자가 혼란에 빠지거나, 해킹당하거나, 실수를 할 경우, 수천 대의 로봇이 결제 없이 입장하게 하거나, 돈을 훔치거나, 혹은 모든 사람에게 막대한 거래 수수료를 발생시키는 연쇄 반응을 의도치 않게 일으킬 수 있다는 점입니다.
이 논문은 이러한 디지털 중간자들에 대한 보안 조사 보고서입니다. 연구진인 보안 전문가 팀은 현재 시스템을 운영 중인 실제 퍼실리테이터들이 실제로 업무를 올바르게 수행하고 있는지 확인하기로 했습니다. 그들은 X402SCOPE라는 특별한 테스트 도구를 구축하여 생태계에서 가장 큰 15개의 퍼실리테이터를 조사했습니다. 그들은 단순히 코드만 본 것이 아닙(많은 도구가 비밀스러운 '블랙박스'이기 때문입니다). 그들은 시스템을 속이려는 해커처럼 행동했습니다.
그들이 발견한 결과는 놀라웠습니다. 테스트한 15개의 퍼실리테이터 모두가 적어도 하나 이상의 보안 결함을 가지고 있었습니다. 그들은 악의적인 행위자가 시스템을 망가뜨릴 수 있는 네 가지 주요 방식을 발견했습니다:
- 무료 쇼핑: 결제가 완전히 확인되기 전에 시스템이 입장을 허용함으로써, 로봇이 실제로 결제하지 않고도 서비스를 받을 수 있었습니다.
- 자산 절도: 어떤 경우에는 중간자가 도둑에게 상인이 아닌 자신의 돈을 보내도록 속일 수 있었습니다.
- 서비스 거부: 공격자가 가짜 요청으로 시스템을 범람시켜, 중간자가 자신의 돈을 거래 수수료로 낭비하게 함으로써 결과적으로 다른 모든 사람을 위한 서비스를 중단시킬 수 있었습니다.
- 가스 남용(Gas Abuse): 공격자가 중간자로 하여가 복잡하고 무용지인 거래에 대해 막대한 불필요한 수수료를 지불하도록 강제할 수 있었습니다.
연구진은 이 이론들을 실제 네트워크(Base 및 Solana)에서 테스트했으며, 이러한 결함들이 단지 이론적인 것에 그치지 않는다는 것을 발견했습니다. 그들은 이러한 오류들로 인해 이미 202,000달러 이상의 거래 수수료가 실패하거나 취소된 결제에 낭비되었다고 계산했습니다. 그들은 Coinbase와 같은 거물급 기업을 포함하여 퍼실리테이터를 운영하는 회사들에 이 문제를 책임감 있게 보고했습니다. 기업들은 문제를 인정했으며 해결책을 마련 중입니다. 이 논문은 x402가 AI 쇼핑의 미래를 위한 멋진 기술이지만, 현재는 기반이 불안정하다고 결론짓습니다. 이러한 중간자들이 이러한 특정 수법들에 대해 방어력을 갖추기 전까지, 시스템은 혼돈, 절도, 그리고 재정적 손실에 취약한 상태로 남아 있을 것입니다.
연구 분야의 논문에 파묻히고 계신가요?
연구 키워드에 맞는 최신 논문의 일일 다이제스트를 받아보세요 — 기술 요약 포함, 당신의 언어로.