49 lỗi vi phạm quy tắc bảo mật x402, Coinbase(COIN) cũng dính

Một cuộc kiểm tra bảo mật nhắm vào hạ tầng thanh toán x402 (x402) phát hiện toàn bộ 15 facilitator (đơn vị trung gian xử lý thanh toán) lớn, trong đó có Coinbase(COIN), đều vi phạm ít nhất một quy tắc bảo mật. Nhóm nghiên cứu xác nhận tổng cộng 49 lỗi vi phạm quy tắc và 31 lỗ hổng bảo mật.

Nghiên cứu "When HTTP 402 Meets the Blockchain: Risks on Emerging x402 Payments", được chấp nhận tại hội nghị USENIX Security '26, mô tả x402 là giao thức thanh toán dành cho API web và các tác nhân AI tự hành (autonomous AI agent). Giao thức này kết nối luồng yêu cầu thanh toán HTTP 402 với khâu quyết toán trên blockchain, trong đó facilitator đảm nhận việc xác minh bằng chứng thanh toán và xử lý quyết toán on-chain.

Facilitator là lớp trung gian xác nhận bằng chứng thanh toán giữa người bán và người dùng trong giao dịch x402, đồng thời xử lý quyết toán thực tế trên blockchain. Tài liệu chính thức mô tả lớp này là cơ chế xác minh - quyết toán không bắt buộc nhưng được khuyến nghị sử dụng.

Nhóm nghiên cứu xây dựng 8 quy tắc bảo mật rồi thử nghiệm theo phương pháp hộp đen (black-box) trên 15 facilitator lớn. Mẫu khảo sát này được cho là chiếm 99% giao dịch x402 được quan sát và 98% quy mô thanh toán.

Tuy nhiên, con số này không có nghĩa 99% tổng giao dịch x402 đều tồn tại lỗ hổng. Nó chỉ cho thấy 15 facilitator được khảo sát bao trùm phần lớn giao dịch quan sát được, và việc kiểm chứng tấn công cũng chỉ diễn ra trong điều kiện giới hạn.

Có 6 kịch bản tấn công được kiểm chứng trực tiếp. Trong đó có 2 trường hợp "free shopping" - nhận dịch vụ trước khi quyết toán thanh toán hoàn tất, 3 trường hợp "lạm dụng gas" (gas abuse) khiến phí mạng mà facilitator trả thay bị tiêu hao, và 1 trường hợp tài sản do facilitator nắm giữ bị lộ.

Cốt lõi của các lỗ hổng nằm ở khoảng trống giữa bước xác minh và bước quyết toán. Dù facilitator đánh giá bằng chứng thanh toán là hợp lệ, quá trình quyết toán on-chain vẫn có thể thất bại. Nếu trong khoảng thời gian đó người bán đã cung cấp dịch vụ số hoặc quyền truy cập API, họ có thể không nhận được tiền.

Nghiên cứu và các bài đưa tin tiếp theo cũng chỉ ra bộ công cụ máy chủ tham chiếu thuộc dòng SDK Flask của Coinbase không có cơ chế hoàn tác khi xác minh thành công nhưng quyết toán thất bại. Theo mô tả, đến tận phiên bản 0.2.1, tài nguyên được bảo vệ vẫn có thể được mở bất kể quyết toán có thành công hay không.

Nghiên cứu đã ánh xạ 31 lỗ hổng vào 49 lỗi vi phạm quy tắc. Rủi ro chiếm đoạt tài sản xuất hiện ở khâu xử lý chữ ký counterfactual liên quan đến ERC-6492, trong khi lạm dụng gas bắt nguồn từ cơ chế facilitator trả phí giao dịch thay cho người dùng.

Trong khoảng 119 triệu giao dịch gần nhất trên Base và Solana(SOL) mà nghiên cứu đo lường, các giao dịch quyết toán liên quan đến x402 đã tiêu tốn khoảng 202.000 USD phí mạng. Trong đó, khoảng 5.800 USD bị tiêu hao ở những giao dịch bị hoàn tác hoặc thất bại.

x402 hiện đã tích lũy được số liệu sử dụng thực tế đáng kể. Theo x402.org, trong 30 ngày gần nhất, giao thức này ghi nhận 75,41 triệu giao dịch, quy mô thanh toán 24,24 triệu USD, 94.060 người mua và 22.000 người bán.

Tài liệu dành cho lập trình viên của Coinbase cho biết facilitator CDP đã xử lý hơn 100 triệu giao dịch và khối lượng thanh toán 28 triệu USD trên Base và Solana(SOL). Dù khối lượng thanh toán tăng nhanh, nghiên cứu này cho thấy ranh giới giữa xác minh và quyết toán có thể chưa theo kịp tốc độ mở rộng đó.

Ngày 14/7, Linux Foundation công bố chính thức vận hành x402 Foundation. Tổ chức này quy tụ 40 đơn vị tham gia, trong đó có Coinbase(COIN), Visa, Mastercard, Ripple(XRP), Circle, Cloudflare, Amazon Web Services (AWS) và KakaoPay.

Giao thức do Coinbase khởi xướng đang chuyển từ mô hình do một doanh nghiệp dẫn dắt sang giai đoạn thảo luận tiêu chuẩn hóa chung. Trước đó, TokenPost từng đưa tin Coinbase mở rộng tính năng thanh toán USD Coin (USDC) cho các tác nhân AI dựa trên nền tảng x402.

Điểm đáng chú ý với độc giả trong nước là thanh toán của các tác nhân AI đang vượt ra khỏi giai đoạn thử nghiệm để trở thành vấn đề hạ tầng thanh toán thực thụ. Cùng với xu hướng các doanh nghiệp tiền mã hóa xây dựng ví và hạ tầng thanh toán riêng cho AI agent, giới quan sát đánh giá việc kiểm chứng an toàn quyết toán đang trở nên quan trọng không kém sự tiện lợi trong thanh toán.

Nhóm nghiên cứu đã thông báo trước cho 14 đối tượng liên quan vào tháng 1/2026. Tính đến ngày 6/2, Coinbase, PayAI và Mogami đã xác nhận 6 lỗ hổng, một phần trong số đó đã được khắc phục. Tuy nhiên, chỉ dựa trên các thông tin công khai thì chưa thể xác định lỗ hổng nào vẫn còn tồn tại trong môi trường vận hành thực tế nào.