- V12在x402程式碼庫發現25項漏洞，報告集中討論其中三項嚴重漏洞。
- 付款繞過漏洞或可讓商戶交付已付款資源，卻收不到代幣。
- 三項嚴重漏洞已於2026年8月20日前修正。
V12於2026年10月22日披露x402存在三項嚴重漏洞，此前已於8月12日向x402團隊報告。V12表示，x402團隊於8月20日前修正三項漏洞。
漏洞影響付款驗證、自動登入及自動付款客戶端。其中一項或可讓商戶交付已付款資源而收不到代幣；另一項或可讓惡意數據伺服器利用客戶端錢包的簽名，以客戶端錢包身分登入目標網站；第三項或可讓惡意API要求授權相容代幣的全部餘額。
V12表示，該公司檢視x402程式碼庫後發現25項漏洞，報告集中討論其中三項嚴重漏洞。
Solana驗證路徑對批准返回有效
V12的本地測試使用真實代幣編碼器及解析器，確認驗證路徑對一項批准返回isValid: true。
攻擊者需要有效代幣賬戶，但批准所涉賬戶毋須有代幣餘額，而交易費用由促進器支付。V12表示，Solana驗證器應在將指令解析為轉帳前檢查指令類型。
登入包裝器沒有核對網域或支出限額
自動登入包裝器在簽署402回應所提供的訊息時，沒有檢查訊息的網域及URI是否與客戶端曾連接的網站相符。惡意數據伺服器可將其挑戰放入擴充功能，收集客戶端簽名，再提交至目標網站，以客戶端錢包身分登入。
文件所述的預設客戶端設定既沒有執行每次付款限額，也沒有執行總支出預算。在使用自動簽署器而沒有應用程式政策的情況下，客戶端可簽署授權，攻擊者再提交該授權以收取資金。
V12亦發現，格式錯誤的付款要求可到達選擇器，即使架構驗證器本應拒絕這些要求。V12表示，付款客戶端應驗證傳入要求，並執行明確的每次付款及總額預算、准許代幣、網絡及收款人限制。
x402版本加入支出控制及指令檢查
x402基金會表示，8月18日發布的版本為TypeScript、Python及Go客戶端加入支出控制。基金會表示，修補後的客戶端預設將每次付款上限設為1美元，並只允許已識別的美元穩定幣，例如USDC。
The Hacker News表示，所有已發布的@x402/svm版本，由2.0.0至2.22.0均欠缺指令類型檢查，而2.23.0或以後的所有版本均已加入該檢查。
V12表示，該公司於2026年9月9日提交另外九項中低嚴重程度調查結果。
| 版本 | 指令類型檢查 |
|---|---|
| 2.0.0至2.22.0 | 欠缺該檢查 |
| 2.23.0或以後 | 已加入該檢查 |
防守方現在要做甚麼
- 在將指令解析為轉帳前檢查指令類型。
- 在簽署前，將要求的網域及URI與曾連接的網站作比較。
- 驗證傳入要求，並執行明確的每次付款及總額預算、准許代幣、網絡及收款人限制。
常見問題
x402發生了甚麼事？
V12在x402程式碼庫整體發現25項漏洞後，披露三項嚴重漏洞。三項嚴重漏洞已於2026年8月20日前修正。
x402漏洞可否繞過付款？
可以。V12表示，付款繞過漏洞或可讓商戶交付已付款資源，卻收不到代幣。
x402漏洞可否暴露錢包登入資料？
可以。惡意數據伺服器或可取得客戶端錢包簽名，並利用該簽名以客戶端錢包身分登入目標網站。
哪些x402客戶端獲加入支出控制？
x402基金會表示，8月18日發布的版本為TypeScript、Python及Go客戶端加入支出控制。基金會表示，預設每次付款上限為1美元，並准許已識別的美元穩定幣，例如USDC。
哪些x402 Solana版本包括指令檢查？
據The Hacker News，2.23.0或以後的版本包括該檢查，而2.0.0至2.22.0版本欠缺該檢查。
來源
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| V12在x402程式碼庫發現25項漏洞。 | V12 | 已證實 |
| V12的報告集中討論三項嚴重漏洞。 | V12 | 已證實 |
| V12於2026年8月12日向x402團隊報告三項嚴重漏洞及13項高嚴重程度漏洞。 | V12 | 已證實 |
| 三項嚴重漏洞已於2026年8月20日前修正。 | V12 | 已證實 |
| V12於2026年9月9日提交另外九項中低嚴重程度調查結果。 | V12 | 已證實 |
| TypeScript Solana促進器在未轉移資金的情況下，接受批准作為有效付款。 | V12 | 已證實 |
| 付款繞過漏洞或可讓商戶交付已付款資源，卻收不到代幣。 | V12 | 已證實 |
| 攻擊者需要有效代幣賬戶，但批准所涉賬戶毋須有代幣餘額，而交易費用由促進器支付。 | V12 | 已證實 |
| 自動登入包裝器在簽署訊息時，沒有核對其網域及URI與曾連接網站是否相符。 | V12 | 已證實 |
| 惡意數據伺服器或可取得客戶端錢包簽名，並利用該簽名登入目標網站。 | V12 | 已證實 |
| 預設客戶端設定既沒有執行每次付款限額，也沒有執行總支出預算。 | V12 | 已證實 |
| 惡意API或可要求自動客戶端授權相容代幣的全部餘額。 | V12 | 已證實 |
| 在使用自動簽署器而沒有應用程式政策的情況下，客戶端可簽署授權，攻擊者再提交該授權以收取資金。 | V12 | 已證實 |
| V12發現，格式錯誤的付款要求可在沒有架構驗證的情況下到達選擇器。 | V12 | 已證實 |
| x402團隊在2026年8月18日發布的版本中，為TypeScript、Python及Go客戶端加入支出控制。 | x402 Foundation, via The Hacker News | 引述 |
| x402基金會表示，修補後的客戶端預設將每次付款上限設為1美元，並允許已識別的美元穩定幣，例如USDC。 | x402 Foundation, via The Hacker News | 引述 |
| The Hacker News表示，TypeScript Solana促進器在2.0.0至2.22.0版本欠缺指令類型檢查，而2.23.0或以後版本已加入該檢查。 | The Hacker News | 引述 |
| API是電腦或電腦程式之間的連接。 | Wikipedia | 已證實 |
| v12.sh於2026年10月22日發布報告。 | v12.sh | 已證實 |
未能核實
- 漏洞是否曾在實際環境中遭利用，尚未確立
- 調查結果是否獲分配CVE識別碼，尚未確立
- 有多少x402部署或用戶受影響，尚未確立
- 是否有任何資金或登入賬戶遭入侵，尚未確立
