Un sistema recibe una autorización de pago, comprueba que parece válida y entrega lo que vende. Pero hay un problema: el dinero puede no llegar jamás....
En agosto de 2026, una investigación presentada en el congreso internacional USENIX Security reveló vulnerabilidades en x402, un protocolo que permite a programas informáticos y agentes de inteligencia artificial pagar automáticamente por servicios digitales utilizando criptomonedas.
Y lo que encontraron es realmente interesante...
Imaginá una página que vende informes financieros por 1 $USDC cada uno.
Una inteligencia artificial necesita uno de esos informes. Lo solicita, recibe el precio y presenta una autorización para pagarlo.
El sitio utiliza un intermediario tecnológico que comprueba si esa autorización es válida y se encarga de procesar el pago en la blockchain.
Si todo funciona correctamente, el cliente paga y recibe su informe.
PERO LOS INVESTIGADORES ENCONTRARON UNA FORMA DE ROMPER ESA RELACIÓN ENTRE PAGAR Y RECIBIR.
En uno de los casos estudiados, el sistema podía comprobar una autorización sin reservarla inmediatamente como utilizada.
¿Qué significa esto?
Imaginá que comprás una entrada para el cine. La mostrás en la puerta y te dejan pasar.
Ahora suponé que otras nueve personas presentan copias de esa misma entrada al mismo tiempo y los controles no detectan que ya está siendo utilizada.
Las diez personas podrían ingresar, aunque solamente exista una entrada pagada.
Con determinados sistemas x402 vulnerables podía ocurrir algo parecido.
Un atacante podía presentar simultáneamente varias solicitudes utilizando una misma autorización de pago.
El sistema comprobaba cada solicitud por separado y podía considerarlas válidas antes de registrar que esa autorización ya había sido consumida.
El resultado era que un servicio podía entregar múltiples recursos digitales aunque el cliente solamente hubiera autorizado un pago.
Y encontraron otro problema.
En algunas implementaciones, una autorización superaba la primera verificación, pero el cobro definitivo fracasaba al intentar ejecutarse en la blockchain.
Si el servidor entregaba el contenido antes de confirmar que el dinero había llegado, el cliente podía recibir el producto sin que el vendedor consiguiera cobrarlo.
A esta categoría de ataque los investigadores la denominaron Free Shopping Attack, literalmente, ataque de compras gratuitas.
¿QUÉ TAN REAL FUE EL DESCUBRIMIENTO?
Los especialistas analizaron 15 servicios intermediarios de pagos x402, utilizados en conjunto por más de 60.000 vendedores y 360.000 compradores.
Identificaron 31 vulnerabilidades previamente desconocidas.
En relación con Free Shopping, consiguieron validar dos casos explotables de principio a fin y detectaron otros diez escenarios de alto riesgo.
Las comprobaciones se realizaron de manera controlada, sin perjudicar a comercios ajenos. Por eso, los resultados demuestran vulnerabilidades reales, pero no prueban que miles de delincuentes ya las estuvieran aprovechando....
Los responsables recibieron los reportes y se implementaron distintas medidas correctivas, incluidas modificaciones vinculadas con Coinbase.
¿POR QUÉ ESTE DESCUBRIMIENTO ES IMPORTANTE?
Porque cada vez más servicios permiten que las inteligencias artificiales compren información, utilicen herramientas y contraten recursos informáticos sin intervención humana en cada pago.
En ese escenario, una autorización reutilizable o un cobro incorrectamente verificado puede transformar un pequeño error de programación en una pérdida económica repetida.
La solución exige controles concretos: impedir que una autorización se utilice varias veces, comprobar que cada pago corresponde a la operación solicitada y evitar entregar recursos sin garantías adecuadas de cobro.
Y ACÁ ESTÁ LO VERDADERAMENTE INQUIETANTE.
Estamos avanzando hacia un Internet donde las máquinas pueden negociar, comprar y pagar entre ellas.
Pero la velocidad de esas operaciones no sirve de nada cuando el sistema confunde una promesa de pago con dinero efectivamente recibido.
Porque el futuro del comercio digital no solamente dependerá de que las máquinas aprendan a pagar. También dependerá de que los sistemas sepan cuándo todavía... no les pagaron....
INVESTIGACIÓN ORIGINAL — USENIX SECURITY 2026
When HTTP 402 Meets the Blockchain: Risks on Emerging x402 Payments.
https://www.usenix.org/conference/usenixsecurity26/presentation/wang-qinying
#FreeShoppingAttack #x402 #Ciberseguridad #Blockchain #Criptomonedas