x402 ละเมิดกฎความปลอดภัย 49 ครั้ง เจอช่องโหว่ 31 จุด คอยน์เบส(COIN) ก็ไม่รอด

การตรวจสอบความปลอดภัยของโครงสร้างพื้นฐานการชำระเงิน x402 พบว่า ผู้ให้บริการยืนยันการชำระเงิน (facilitator) รายใหญ่ทั้ง 15 ราย ซึ่งรวมถึงคอยน์เบส(Coinbase, $COIN) ล้วน ‘ละเมิด’ กฎความปลอดภัยอย่างน้อย 1 ข้อ โดยทีมวิจัยตรวจพบการละเมิดกฎรวม 49 ครั้ง และช่องโหว่ 31 จุด

งานวิจัยที่ได้รับการตอบรับให้นำเสนอในงาน USENIX Security '26 ภายใต้ชื่อ 'When HTTP 402 Meets the Blockchain: Risks on Emerging x402 Payments' อธิบายว่า x402 คือโปรโตคอลการชำระเงินสำหรับ API บนเว็บและเอเจนต์ AI แบบอัตโนมัติ โดยเชื่อมกระบวนการขอชำระเงินตามมาตรฐาน HTTP 402 เข้ากับการชำระบัญชี (settlement) บนบล็อกเชน ซึ่งมี facilitator ทำหน้าที่ตรวจสอบหลักฐานการชำระเงินและดำเนินการชำระบัญชีบนเชน

Facilitator คือชั้นตัวกลางที่ตรวจสอบหลักฐานการชำระเงินระหว่างร้านค้ากับผู้ใช้ในธุรกรรม x402 และดำเนินการชำระบัญชีบนบล็อกเชนจริง เอกสารทางการของ x402 ระบุว่าชั้นนี้เป็น ‘ทางเลือก’ แต่ ‘แนะนำให้ใช้’ เพื่อการตรวจสอบและชำระบัญชี

ทีมวิจัยตั้งกฎความปลอดภัยขึ้น 8 ข้อ แล้วทดสอบ facilitator รายใหญ่ 15 รายด้วยวิธี black-box โดยกลุ่มตัวอย่างนี้ครอบคลุมธุรกรรม x402 ที่สังเกตได้ถึง 99% และมูลค่าการชำระเงินรวม 98%

อย่างไรก็ตาม ตัวเลขนี้ไม่ได้หมายความว่าธุรกรรม x402 ทั้งหมด 99% มีช่องโหว่ แต่หมายถึง facilitator ทั้ง 15 รายที่นำมาศึกษาครอบคลุมธุรกรรมส่วนใหญ่ที่สังเกตได้ และการพิสูจน์การโจมตีก็ทำภายใต้เงื่อนไขที่จำกัดเท่านั้น

เส้นทางการโจมตีที่ได้รับการยืนยันโดยตรงมีทั้งหมด 6 รูปแบบ แบ่งเป็นการ ‘รับบริการก่อนจ่ายเงิน’ (free shopping) ที่ใช้ประโยชน์จากช่วงก่อนการชำระบัญชีเสร็จสมบูรณ์ 2 กรณี, การ ‘ใช้ค่าแก๊สเกินจำเป็น’ (gas abuse) ที่ทำให้ค่าธรรมเนียมเครือข่ายซึ่ง facilitator จ่ายแทนถูกใช้จนหมด 3 กรณี และการเปิดเผยสินทรัพย์ที่ facilitator ถือครองอยู่ 1 กรณี

หัวใจของช่องโหว่อยู่ที่ ‘ช่องว่าง’ ระหว่างขั้นตอนตรวจสอบกับขั้นตอนชำระบัญชี แม้ facilitator จะตัดสินว่าหลักฐานการชำระเงินถูกต้อง แต่การชำระบัญชีบนเชนก็อาจล้มเหลวได้ และหากร้านค้าส่งมอบบริการดิจิทัลหรือสิทธิ์เข้าถึง API ให้ก่อนในช่วงเวลานั้น ก็อาจไม่ได้รับเงินตามที่ควร

งานวิจัยและรายงานที่ตามมายังชี้ว่าชุดเซิร์ฟเวอร์อ้างอิงในตระกูล Coinbase Flask SDK เองก็ไม่มีกลไกย้อนกลับ (rollback) หลังตรวจสอบผ่านแต่การชำระบัญชีล้มเหลว โดยระบุว่าจนถึงเวอร์ชัน 0.2.1 ทรัพยากรที่ควรได้รับการป้องกันสามารถถูกเปิดใช้งานได้ ไม่ว่าการชำระบัญชีจะสำเร็จหรือไม่ก็ตาม

ทีมวิจัยจับคู่ช่องโหว่ทั้ง 31 จุดเข้ากับการละเมิดกฎ 49 ครั้ง โดยความเสี่ยงด้านการขโมยสินทรัพย์พบในกระบวนการจัดการลายเซ็นแบบ counterfactual ที่เกี่ยวข้องกับมาตรฐาน ERC-6492 ส่วนปัญหาการใช้ค่าแก๊สเกินจำเป็นเกิดจากโครงสร้างที่ facilitator เป็นผู้จ่ายค่าธรรมเนียมธุรกรรมแทนผู้ใช้

จากธุรกรรมล่าสุดราว 119 ล้านรายการบนเครือข่ายเบส(Base)และโซลานา(SOL)ที่งานวิจัยนำมาวัดผล การชำระบัญชีที่เกี่ยวข้องกับ x402 ใช้ค่าธรรมเนียมเครือข่ายไปประมาณ 202,000 ดอลลาร์ (ราว 297 ล้านวอน) ในจำนวนนี้ราว 5,800 ดอลลาร์ (ราว 8.22 ล้านวอน) สูญเสียไปกับธุรกรรมที่ถูกย้อนกลับหรือล้มเหลว

ทั้งนี้ x402 มีการใช้งานจริงและสะสมสถิติมาพอสมควรแล้ว โดยเว็บไซต์ x402.org เปิดเผยว่าในช่วง 30 วันล่าสุด มีธุรกรรมรวม 75.41 ล้านรายการ มูลค่าการชำระเงินรวม 24.24 ล้านดอลลาร์ (ราว 3.56 หมื่นล้านวอน) มีผู้ซื้อ 94,060 ราย และผู้ขาย 22,000 ราย

เอกสารสำหรับนักพัฒนาของคอยน์เบสระบุว่า CDP facilitator ประมวลผลธุรกรรมบนเครือข่ายเบสและโซลานาไปแล้วกว่า 100 ล้านรายการ คิดเป็นมูลค่าการชำระเงินรวม 28 ล้านดอลลาร์ (ราว 3.97 หมื่นล้านวอน) แม้ปริมาณการชำระเงินจะเติบโตอย่างรวดเร็ว แต่งานวิจัยนี้ชี้ให้เห็นว่าการตรวจสอบและการชำระบัญชีอาจตามความเร็วของการขยายตัวไม่ทัน

ลินุกซ์ ฟาวเดชัน(Linux Foundation)ประกาศเปิดตัวการดำเนินงานของ x402 Foundation เมื่อวันที่ 14 กรกฎาคม โดยมีองค์กรเข้าร่วมกว่า 40 แห่ง อาทิ คอยน์เบส, วีซ่า(Visa), มาสเตอร์การ์ด(Mastercard), ริปเปิล(XRP), เซอร์เคิล(Circle), คลาวด์แฟลร์(Cloudflare), อเมซอน เว็บ เซอร์วิสเซส(Amazon Web Services) และคาเกาเพย์(Kakao Pay)

โปรโตคอลที่คอยน์เบสเริ่มต้นไว้กำลังก้าวจากโมเดลที่บริษัทเดียวเป็นผู้นำ ไปสู่ขั้นตอนการหารือเพื่อวางมาตรฐานร่วมกัน ก่อนหน้านี้ TokenPost เคยรายงานว่า คอยน์เบสได้ขยายฟีเจอร์การชำระเงินด้วยยูเอสดีซี(USDC)ของเอเจนต์ AI ให้อยู่บนพื้นฐานของ x402

ประเด็นสำคัญสำหรับผู้อ่านคือ การชำระเงินของเอเจนต์ AI กำลังก้าวข้ามจากการทดลองไปสู่ปัญหาระดับโครงสร้างพื้นฐานการชำระเงินจริง ท่ามกลางกระแสที่ ผู้ประกอบการคริปโตเริ่มสร้างกระเป๋าเงินและโครงสร้างพื้นฐานการชำระเงินเฉพาะสำหรับเอเจนต์ AI ความสะดวกในการชำระเงินอาจไม่ใช่เรื่องเดียวที่สำคัญอีกต่อไป การตรวจสอบความปลอดภัยของขั้นตอนชำระบัญชีก็มีความสำคัญไม่แพ้กัน

ทีมวิจัยแจ้งเตือนล่วงหน้าไปยังผู้เกี่ยวข้อง 14 รายในเดือนมกราคม 2026 และระบุว่า ณ วันที่ 6 กุมภาพันธ์ คอยน์เบส, PayAI และ Mogami ยืนยันช่องโหว่ได้ 6 จุด โดยบางส่วนได้รับการแก้ไขแล้ว อย่างไรก็ตาม จากข้อมูลที่เปิดเผยต่อสาธารณะเพียงอย่างเดียว ยังไม่สามารถยืนยันได้ว่าช่องโหว่ใดยังคงหลงเหลืออยู่ในระบบที่ใช้งานจริงที่ใดบ้าง