- V12在x402代码库中发现25个漏洞，并将报告重点放在三个严重漏洞上。
- 支付绕过可能让商家交付付费资源，却收不到代币。
- 三个严重漏洞已于2026年8月20日前修复。
V12于2026年10月22日披露了x402中的三个严重漏洞，此前已于8月12日将其报告给x402团队。V12表示，x402团队在8月20日前修复了这三个漏洞。
这些漏洞影响支付验证、自动登录和自动支付客户端。其中一个可能让商家在收不到代币的情况下交付付费资源；另一个可能让恶意数据服务器使用客户端钱包的签名登录目标网站；第三个可能让恶意API请求授权使用兼容代币的全部余额。
V12表示，其审查了x402代码库，发现25个漏洞，并将报告重点放在三个严重漏洞上。
Solana验证路径对批准返回有效
V12的本地测试使用了真实的代币编码器和解析器，确认验证路径对一项批准返回isValid: true。
攻击者需要一个有效的代币账户，但该批准对应的账户中无需有代币余额，而促进器支付交易费用。V12表示，Solana验证器应在将指令解析为转账前检查指令类型。
登录封装器未匹配域名或支出限额
自动登录封装器会签署402响应中提供的消息，却不会检查其域名和URI是否与客户端访问的网站匹配。恶意数据服务器可以将其挑战放入扩展程序，收集客户端签名，并将其提交给目标网站，以客户端钱包身份登录。
文档所述的默认客户端设置既未执行单笔支付限额，也未执行总支出预算。使用自动签名器且没有应用策略时，客户端可能签署授权，攻击者可以提交该授权来收集资金。
V12还发现，格式错误的支付要求会到达选择器，尽管模式验证器本应拒绝这些要求。V12表示，支付客户端应验证传入要求，并执行明确的单笔支付和总预算、允许的代币、网络及收款方限制。
x402版本增加支出控制和指令检查
x402基金会表示，8月18日发布的版本为TypeScript、Python和Go客户端增加了支出控制。该基金会表示，修复后的客户端默认将每笔支付上限设为1美元，并且只允许已识别的美元稳定币，例如USDC。
The Hacker News表示，从2.0.0到2.22.0的所有已发布@x402/svm版本都缺少指令类型检查，而从2.23.0开始的所有版本都包含该检查。
V12表示，其于2026年9月9日提交了另外九项中低严重性发现。
| 版本 | 指令类型检查 |
|---|---|
| 2.0.0至2.22.0 | 缺少该检查 |
| 2.23.0及以后 | 包含该检查 |
防守方现在要做什么
- 在将指令解析为转账前检查指令类型。
- 签署前将请求的域名和URI与访问的网站进行比较。
- 验证传入要求，并执行明确的单笔支付和总预算、允许的代币、网络及收款方限制。
常见问题
x402发生了什么？
V12发现总体共有25个漏洞，并披露了x402代码库中的三个严重漏洞。这三个严重漏洞已于2026年8月20日前修复。
x402漏洞能绕过支付吗？
可以。V12表示，支付绕过可能让商家交付付费资源，却收不到代币。
x402漏洞会暴露钱包登录吗？
可以。恶意数据服务器可能获取客户端钱包的签名，并利用它以客户端钱包身份登录目标网站。
哪些x402客户端获得了支出控制？
x402基金会表示，8月18日发布的版本为TypeScript、Python和Go客户端增加了支出控制。该基金会表示，默认上限为每笔支付1美元，并允许已识别的美元稳定币，例如USDC。
哪些x402 Solana版本包含指令检查？
据The Hacker News称，2.23.0及以后版本包含该检查，而2.0.0至2.22.0版本缺少该检查。
来源
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| V12在x402代码库中发现25个漏洞。 | V12 | 已证实 |
| V12将报告重点放在三个严重漏洞上。 | V12 | 已证实 |
| V12于2026年8月12日向x402团队报告了三个严重漏洞和13个高严重性漏洞。 | V12 | 已证实 |
| 三个严重漏洞已于2026年8月20日前修复。 | V12 | 已证实 |
| V12于2026年9月9日提交了另外九项中低严重性发现。 | V12 | 已证实 |
| TypeScript Solana促进器接受批准作为有效支付，却未转移资金。 | V12 | 已证实 |
| 支付绕过可能让商家交付付费资源，却收不到代币。 | V12 | 已证实 |
| 攻击者需要一个有效的代币账户，但该批准对应的账户中无需有代币余额，而促进器支付交易费用。 | V12 | 已证实 |
| 自动登录封装器签署消息时，未检查其域名和URI是否与访问的网站匹配。 | V12 | 已证实 |
| 恶意数据服务器可能获取客户端钱包的签名，并利用它登录目标网站。 | V12 | 已证实 |
| 默认客户端设置既未执行单笔支付限额，也未执行总支出预算。 | V12 | 已证实 |
| 恶意API可能请求授权使用自动客户端持有的兼容代币全部余额。 | V12 | 已证实 |
| 使用自动签名器且没有应用策略时，客户端可能签署授权，攻击者可以提交该授权来收集资金。 | V12 | 已证实 |
| V12发现，格式错误的支付要求可能在没有模式验证的情况下到达选择器。 | V12 | 已证实 |
| x402团队在2026年8月18日发布的版本中为其TypeScript、Python和Go客户端增加了支出控制。 | x402 Foundation, via The Hacker News | 引述 |
| x402基金会表示，修复后的客户端默认将每笔支付上限设为1美元，并允许已识别的美元稳定币，例如USDC。 | x402 Foundation, via The Hacker News | 引述 |
| The Hacker News表示，2.0.0至2.22.0版本的TypeScript Solana促进器缺少指令类型检查，而2.23.0及以后版本包含该检查。 | The Hacker News | 引述 |
| API是计算机或计算机程序之间的连接。 | Wikipedia | 已证实 |
| v12.sh于2026年10月22日发布了其报告。 | v12.sh | 已证实 |
未能核实
- 这些漏洞是否在现实环境中被利用，尚未确定
- 这些发现是否获得CVE编号，尚未确定
- 有多少x402部署或用户受到影响，尚未确定
- 是否有资金或登录账户遭到入侵，尚未确定
