仮想通貨決済の中間層に31件の脆弱性｜取引の99%に影響も

プログラム可能な決済向けのHTTPネイティブ規格「x402」を支える15の主要な決済仲介事業者（ファシリテーター）に、これまで知られていなかった31件の脆弱性が見つかったとする新たなセキュリティ調査が公表されました。対象となった事業者は調査期間中に観測された取引の99%を扱っており、この中間層の不具合が多くの加盟店に影響する恐れがあるとされています。

7月21日に公表された調査によると、各ファシリテーターは決済の検証・決済に関する8つのルールのうち少なくとも1つに違反していたとのことです。調査では49件の違反事例を「フリーショッピング」「資産窃取」「サービス拒否」「ガス濫用」の4つの攻撃分類に対応づけたとされています。

ファシリテーターは利用者の署名済み決済証明を確認し、決済を構築・送信する共有の中間層であり、加盟店はその応答をもとにサービスを提供するタイミングを判断するとのことです。

研究者は2件のフリーショッピング攻撃を実際に検証し、さらに10件を高リスクと分類したとされています。ガス濫用の3事例とERC-6492に関連する資産窃取の1経路も報告されましたが、概念実証ではトークンの承認を誘発したのみで実際の資金移動は行われなかったとのことです。なお今回の調査は、すべてのx402決済が脆弱であることやCoinbaseが侵害されたことを示すものではないとされています。

研究者は1月に14の関係先へ調査結果を通知し、2月6日時点でCoinbaseなど一部の事業者が計6件の脆弱性を認め一部を修正したとのことです。論文は検証と決済の結びつけや、決済成功後にのみサービスを提供することなどを推奨しています。オープンな規格であっても、支払いの可否を判断する仲介者に厳格な管理が求められそうです。