chỉ một yêu cầu api độc hại cũng có thể rút cạn 100% số dư ví x402 của tác nhân ai mà không cần chạm đến khóa riêng tư.

x402 giới thiệu cách để các tác nhân thanh toán api bằng tiền mã hóa.

nhưng nghiên cứu bảo mật đã chỉ ra một lỗ hổng nghiêm trọng: api độc hại có thể yêu cầu thanh toán toàn bộ số dư token của tác nhân nếu sdk không áp dụng giới hạn phù hợp.

điều nguy hiểm không nằm ở bản thân giao thức thanh toán, mà ở việc trao quá nhiều quyền cho một điểm cuối không đáng tin cậy.

trước khi ký:
> xác minh địa chỉ người nhận
> đặt giới hạn cứng cho mỗi giao dịch
> xác thực số tiền được yêu cầu
> giới hạn các miền đáng tin cậy
> không bao giờ để mô hình ghi đè các bước kiểm tra chính sách

thanh toán tự động mà không có bảo mật tự động chỉ là cách tự động hóa việc mất tiền.

bạn có để một tác nhân ký các khoản thanh toán mà không có lớp chính sách xác định không?